Política de Privacidade — INK+
Última atualização: 2 de novembro de 2026 · Versão: 2026-11-02
1. Responsável e canal de privacidade
O INK+ é fornecido pela VTATECH, nome empresarial 68.940.046 Valter Francisco da Silva Junior, CNPJ 68.940.046/0001-24. Sede em Sumaré/SP.
O canal de privacidade é contato@vtatech.com.br, inclusive para ex-clientes e pessoas atendidas por estúdios. Informe qual é sua relação com o INK+ e, se souber, o nome do estúdio. Não envie senha, dados completos de cartão ou ficha de saúde inteira para identificar um pedido. A confirmação de identidade será proporcional aos dados e ao direito solicitado.
O responsável pelo atendimento de privacidade é Valter Francisco da Silva Junior, pelo e-mail contato@vtatech.com.br.
2. Quem decide sobre o tratamento
A VTATECH é controladora dos dados necessários à conta do contratante, autenticação do painel, assinatura, relacionamento, atendimento e segurança sob sua responsabilidade.
O estúdio é controlador dos dados de seus clientes finais: define por que registra a ficha, quais informações são necessárias, quem da equipe acessa e por quanto tempo precisa mantê-las. A VTATECH é operadora desses dados, prestando armazenamento e funcionalidades conforme as instruções lícitas do estúdio. Quando o estúdio contrata a Recepção pelo WhatsApp, o ZAPTA, outro produto da própria VTATECH, atua também como operador desses dados na conexão com o WhatsApp, sob as mesmas regras desta política. Fornecedores de infraestrutura podem atuar como suboperadores; serviços que decidam sobre finalidades próprias, como obrigações financeiras, respondem pelo tratamento que lhes compete.
A separação entre contas é realizada por controles de acesso. Nos planos de grupo, o vínculo administrativo não dá ao mantenedor acesso aos clientes, agenda ou financeiro dos tatuadores vinculados. Isso não impede acessos estritamente necessários da VTATECH para suporte autorizado, segurança ou obrigação legal, sob os controles pertinentes.
3. Dados, finalidades e fundamentos
Conta e prestação do serviço. Nome profissional e do estúdio, e-mail, identificador Google, contato, dados do perfil e usuários autorizados servem para criar e autenticar a conta, configurar o ambiente e prestar o serviço contratado. O fundamento é a relação contratual e, no que couber, procedimentos solicitados antes da contratação.
Assinatura e atendimento. Plano, valor, identificadores e situação de cobrança, solicitações, protocolos e comunicações servem para processar a assinatura, cancelamento, reembolso e suporte. São tratados para execução contratual, obrigações legais e exercício regular de direitos, conforme a finalidade de cada registro. O cartão completo é processado pelo Asaas, sem armazenamento pelo INK+.
Segurança e prevenção de abuso. Registros técnicos de acesso e falhas, ações administrativas e identificadores mínimos ajudam a proteger contas e investigar incidentes. Utilizam-se o cumprimento de obrigações aplicáveis e o legítimo interesse na segurança e prevenção de fraude, após considerar necessidade e direitos dos titulares. Legítimo interesse não é fundamento genérico para dados de saúde.
Clientes finais e atendimento do estúdio. Identificação, contato, nascimento, CPF, endereço, projetos, orçamentos, fotos, sinal, financeiro, agenda e anotações são registrados pelo estúdio ou pelo próprio titular no portal. O estúdio deve indicar a hipótese legal pertinente à finalidade — por exemplo, atendimento contratado, obrigação aplicável, exercício de direitos ou consentimento quando necessário — e evitar coleta excessiva. Um campo disponível não torna obrigatória sua coleta em qualquer situação.
Dados sensíveis de saúde. A anamnese pode conter condições de saúde, alergias, medicamentos, reações anteriores e hábitos relevantes à avaliação do procedimento. Seu tratamento exige hipótese específica para dados sensíveis. No fluxo de consentimento do formulário, o titular recebe informação destacada e registra manifestação separada da autorização do procedimento e da escolha de uso de imagem. O estúdio continua responsável por avaliar a necessidade das perguntas e a adequação dessa hipótese ao caso.
Uso de imagem. A escolha de divulgação é independente. Uma autorização de procedimento ou saúde não autoriza publicidade. O estúdio deve definir o alcance permitido, os canais e eventuais condições antes de divulgar imagens; marcar uma foto para compartilhar no portal com o próprio cliente não equivale a autorização pública de divulgação.
Medição opcional. Quando configurado e aceito no aviso de cookies, Google Analytics mede uso e conversões. A recusa não impede o serviço; a escolha pode ser alterada pelo controle de cookies. Consentimento para medição não abrange dados de saúde nem envio de mensagens comerciais.
4. Consentimento e registros da anamnese
No portal, o registro vincula a manifestação ao usuário autenticado, à versão e ao texto apresentado, com data do servidor. Na ficha preenchida pelo estúdio, fica a declaração do usuário do estúdio, com sua identificação e referência da comprovação obtida no atendimento; esse registro não é apresentado como assinatura eletrônica do cliente final.
As fichas são versionadas para preservar o histórico. Registros anteriores não ganham, retroativamente, uma prova de consentimento que não continham. Uma correção poderá exigir nova versão; os direitos de correção ou eliminação não deixam de existir por causa do versionamento, e eventual conservação da versão anterior precisa de fundamento e limitação de acesso.
O titular pode recusar ou revogar consentimento gratuitamente, procurando o estúdio ou o canal de privacidade da VTATECH. Se não desejar usar a anamnese online, deve falar com o estúdio sobre o atendimento e alternativas lícitas. A revogação impede novos usos baseados naquele consentimento; a situação de dados anteriores será avaliada conforme o pedido e as hipóteses legais de conservação. Não se presume nova autorização nem se muda silenciosamente a finalidade.
5. Integrações opcionais
Google Calendar. A conexão permite gravar sessões em agenda do estúdio e ler até 3 agendas escolhidas para compor a disponibilidade. O modo de bloqueio usa informação de ocupação; o modo de detalhe pode exibir título e descrição. Conforme a funcionalidade usada, são tratados horário, cliente, contato e informações da sessão. O estúdio deve evitar colocar dados de saúde ou detalhes desnecessários em eventos, especialmente agendas compartilhadas.
A autorização e os tokens ficam no servidor. A desconexão solicita revogação e remove dados importados no INK+; se o Google não confirmar a operação, a tela informa a falha e permite nova tentativa. Eventos e cópias já existentes na conta Google ou com destinatários de convites não são prometidos como apagados por essa desconexão. A eliminação da conta pode ficar em processamento enquanto a revogação é retomada. O uso das informações obtidas das APIs Google é limitado às funcionalidades solicitadas e observa sua política de dados, sem publicidade ou treinamento de IA com esses dados.
WhatsApp manual. O botão prepara uma mensagem e abre o WhatsApp do usuário, que confirma o envio. O INK+ não lê a conversa manual; o aplicativo e os destinatários passam a ter os dados enviados segundo suas próprias condições.
ZAPTA/Meta. Quando o estúdio contrata e configura a integração, telefone, texto, referências de envio e eventual imagem escolhida são transmitidos ao ZAPTA e à Meta/WhatsApp. O estúdio deve informar o destinatário e possuir fundamento para a comunicação. Mensagens operacionais da VTATECH também podem usar esses serviços quando houver a autorização ou hipótese aplicável. Aceite do envio pelo fornecedor não é, por si só, prova de entrega ao destinatário.
Recepção pelo WhatsApp (adicional). Quando o estúdio contrata e conecta o número, o ZAPTA recebe as mensagens enviadas a esse número e responde com textos automáticos, sem inteligência artificial. São tratados o número de telefone de quem escreve, a escolha feita nos botões, o nome que a própria pessoa informar, o texto das mensagens e as imagens enviadas (ideia do projeto, tamanho, local do corpo e referências) e os identificadores das mensagens. Para quem já é cliente, o nome do cadastro é usado só para cumprimentá-lo. O nome do perfil do WhatsApp não é usado nem gravado. Quem escolhe "Projeto de tatuagem" vira um pré-cadastro no painel do estúdio, com as informações e imagens enviadas; as imagens ficam no armazenamento do INK+. Quem escolhe "Outro assunto" recebe uma resposta e nada é enviado ao INK+, mas o ZAPTA conserva o registro técnico da mensagem. O fundamento é o atendimento solicitado pela própria pessoa, que escreve ao estúdio para tratar de um possível procedimento; o estúdio é o controlador e a VTATECH, por meio do ZAPTA, é operadora. O estúdio deve evitar pedir dados de saúde por mensagem.
O ZAPTA guarda, em projeto separado do INK+ e com acesso restrito, o registro das mensagens recebidas e o estado do atendimento automático (quando o menu foi enviado, a escolha feita e o nome informado). Ao cancelar o adicional, o número é desconectado e o ZAPTA deixa de receber mensagens novas; o registro já existente é conservado com acesso restrito até a eliminação, que o estúdio ou o titular podem pedir pelo canal de privacidade. Ainda não há rotina automática que elimine esse registro junto com a exclusão da conta no INK+; o pedido é tratado manualmente pelo atendimento.
Quando o estúdio liga o envio pelo WhatsApp do estúdio, o INK+ envia ao ZAPTA o telefone do cliente, o nome do cliente, o nome do estúdio e, conforme o tipo de mensagem, o valor, a validade ou o link, e o ZAPTA os transmite à Meta/WhatsApp. O ZAPTA conserva o registro técnico do envio e do estado de entrega.
ViaCEP. A consulta do navegador envia o CEP digitado ao ViaCEP para completar o endereço; o serviço recebe também os dados técnicos normais da conexão. O resultado pode ser corrigido pelo usuário.
Fontes. As fontes do aplicativo são servidas junto com seus arquivos, sem consulta ao Google Fonts para essa finalidade. Isso não elimina as conexões necessárias aos outros serviços Google identificados nesta política.
O INK+ não utiliza os dados de clientes finais para treinar IA nem oferece processamento de sua anamnese por IA.
6. Compartilhamento
São utilizados Google/Firebase/Google Cloud para autenticação, hospedagem, banco, arquivos e funções; Asaas para pagamentos; Google Calendar, ViaCEP e ZAPTA/Meta conforme os recursos usados; e Google Analytics conforme a configuração e escolha de medição.
Na Recepção, as mensagens também passam pela Meta/WhatsApp e pelo ZAPTA, nos termos descritos acima. O compartilhamento se limita à finalidade pertinente e aos dados necessários. A VTATECH não vende dados pessoais. Poderá haver atendimento a determinação legal ou de autoridade, apuração de fraude e defesa de direitos, preservados necessidade e sigilo. O estúdio poderá obter informações sobre suboperadores e mudanças relevantes pelo canal de privacidade.
7. Tratamento fora do Brasil
A infraestrutura pode envolver transferência internacional, inclusive armazenamento e suporte de fornecedores. Localizar o banco no Brasil não significa que autenticação, arquivos, logs ou fornecedores se limitem ao país.
Inventário atual: o banco de dados (Firestore) e as funções do servidor ficam em São Paulo (southamerica-east1). Os arquivos enviados (fotos, referências e logos) ficam no armazenamento do Firebase na região us-east1, nos Estados Unidos. Autenticação, hospedagem, medição opcional e demais serviços Google/Firebase podem tratar dados em outros países, conforme a infraestrutura do fornecedor. Meta/WhatsApp, ao serem usados, tratam mensagens fora do Brasil; o ZAPTA utiliza infraestrutura Google/Firebase própria, em projeto separado, sujeita à mesma ressalva dos demais serviços Google; Asaas e ViaCEP tratam os dados conforme suas próprias políticas e infraestrutura.
Essas operações têm como finalidade executar e proteger os recursos contratados, pelo período necessário ao serviço e aos ciclos de conservação descritos abaixo. Para as transferências sujeitas à LGPD, a VTATECH se apoia nas garantias contratuais dos próprios fornecedores, aplicáveis conforme os termos de tratamento de dados aceitos ao contratar os serviços.
No caso do Google/Firebase/Google Cloud, vale o aditivo de tratamento de dados do Google Cloud, que contém regras e cláusulas aplicáveis à legislação brasileira. Para Meta/WhatsApp e Asaas, valem os termos de tratamento de dados e as políticas desses fornecedores. A VTATECH não afirma, com isso, que esses termos sejam idênticos nem que todos tenham o mesmo alcance; o titular pode pedir informações sobre o instrumento aplicável a cada serviço.
O titular pode solicitar informações em português sobre destino, finalidade, duração, agentes envolvidos e salvaguardas, bem como cópia das cláusulas utilizadas, observados os segredos legalmente protegidos e os prazos aplicáveis. O canal é contato@vtatech.com.br; os direitos previstos nesta política continuam disponíveis em relação à transferência.
8. Segurança e incidentes
Utilizamos autenticação Google, controles por estúdio, regras que impedem gravações diretas do navegador no banco e nos arquivos, validação de operações no servidor, armazenamento restrito de credenciais e registros administrativos. Convites do portal têm prazo e token registrado por hash; a resposta de geração contém o link para entrega ao cliente.
Quando atuar como operadora, a VTATECH informará ao estúdio, sem demora injustificada, incidentes que afetem seus dados e fornecerá as informações e o apoio disponíveis para contenção e avaliação. O estúdio, como controlador, responde pelas comunicações que lhe couberem aos titulares e à ANPD; o contrato não dispensa cooperação nem transfere responsabilidades próprias da VTATECH.
Quando a VTATECH for controladora, avaliará a necessidade e realizará as comunicações legalmente exigidas à ANPD e aos afetados nos prazos regulamentares aplicáveis. Nem todo evento técnico exige aviso público, mas os critérios e as medidas adotadas devem ser documentados. Nenhum sistema é isento de risco; essa condição não elimina as obrigações de segurança ou reparação.
9. Conservação e eliminação
Os prazos dependem da finalidade. Manter uma conta ou uma ficha não autoriza conservar dados excessivos ou sem necessidade. Pedidos de eliminação e revisão da conservação podem ser apresentados gratuitamente.
Conta em uso. Os dados necessários ficam disponíveis durante a relação de serviço. O estúdio deve revisar a necessidade das fichas e manter sua própria política de conservação, considerando as obrigações profissionais e o exercício de direitos que efetivamente se apliquem.
Conta individual após fim do acesso. O período pago ou de carência termina antes da contagem da retenção. A rotina prevê pelo menos 60 dias para recuperação, sem acesso ao painel durante o bloqueio. A eliminação exige aviso comprovado ao dono e pelo menos 15 dias completos desde essa ciência, respeitando eventual data posterior já informada. Programar um aviso, oferecer uma tela sem abri-la ou ter apenas aceite de envio pelo Zapta não autoriza antecipar a eliminação. Sem comprovação, a data é adiada e o aviso deve ser regularizado.
A regra automática não abrange contas de grupo mantenedor, estúdios vinculados a grupo ou contas com acesso concedido manualmente. Após o encerramento formal do acesso nessas contas, aplica-se o mesmo critério de 60 dias para recuperação e pelo menos 15 dias completos desde o aviso comprovado, com tratamento pelo suporte enquanto não existir automação correspondente. Uma conta que mantém acesso vigente não inicia esse prazo apenas por pertencer a um grupo. A exceção técnica não dispensa revisão de necessidade nem autoriza retenção indefinida sem fundamento.
Operação: a rotina automática de retenção está ativa para as contas individuais. Para contas de grupo, vinculadas ou com acesso concedido manualmente, a eliminação é conduzida pelo suporte da VTATECH, pelo mesmo critério de 60 dias e 15 dias completos de aviso comprovado, até existir automação correspondente.
Exclusão a pedido. O dono pode usar o painel ou o e-mail de privacidade. Se houver pedido financeiro pendente, serão preservados os registros mínimos necessários à solução, e a exclusão dos demais dados será tratada pelo atendimento. Falha técnica deixa o pedido em processamento, com retomada, em vez de apresentar sucesso inexistente. As fichas imutáveis podem ser eliminadas com o cliente ou com a conta, ressalvada conservação específica legitimamente necessária.
Registros mínimos após exclusão. Pode permanecer um identificador pseudonimizado derivado do e-mail e a data do teste, para impedir repetição abusiva do teste gratuito. Ele não é dado anônimo: a forma legada por hash permite comparação quando o e-mail é conhecido; versões com segredo reduzem esse risco. O uso é restrito à prevenção de abuso e deve ter sua necessidade revisada. O registro técnico de exclusão conserva identificador interno, origem, datas, contagens e resultados das etapas, sem cadastro do estúdio, por até 5 anos para demonstrar cumprimento e defender direitos.
A conservação do identificador antirrepetição do teste permanece limitada ao período em que esse controle continuar necessário para prevenir abuso. A VTATECH revisará anualmente essa necessidade, inclusive para identificadores legados, e eliminará o registro quando a finalidade não justificar sua manutenção. Não se conserva o e-mail aberto nem o vínculo com o estúdio após a exclusão. Essa revisão é operacional; não se confunde com expiração automática já implementada.
Login. O registro no Firebase Authentication não é apagado automaticamente com um estúdio, pois o mesmo usuário pode acessar outros. Quando não existir vínculo ou finalidade que justifique sua manutenção, o titular pode solicitar revisão e eliminação pelo canal de privacidade.
Não há rotina automática ou calendário trimestral de revisão desses logins. O canal de privacidade permanece disponível para análise individual da necessidade de conservação e atendimento de pedidos; a ausência dessa rotina não afasta a eliminação quando não houver fundamento para manter os dados.
Backups, logs e terceiros. Dados excluídos podem permanecer em cópias de segurança por seus ciclos de recuperação e em registros técnicos com acesso limitado. Não devem ser usados para reabrir o uso comum do cadastro eliminado; uma restauração exige reaplicar as exclusões pertinentes. Asaas e serviços de mensagem conservam dados também por suas próprias obrigações e políticas. Mensagens e eventos já entregues a destinatários independentes podem exigir pedido direto ao respectivo controlador.
Ciclos máximos atuais: recuperação pontual do banco de dados por 7 dias; cópias de segurança diárias por 14 dias e semanais por 12 semanas; arquivos apagados ficam recuperáveis por 30 dias (lixeira do armazenamento); registros técnicos de operação por até 30 dias; e registros de auditoria administrativa do Google Cloud por até 400 dias. Esses prazos podem mudar; mudanças relevantes serão refletidas nesta política.
10. Direitos e atendimento
O titular pode solicitar confirmação, acesso, correção, informação sobre compartilhamento, revisão de necessidade, anonimização, bloqueio ou eliminação quando cabíveis, portabilidade conforme regulamentação, oposição, revogação e revisão de decisões exclusivamente automatizadas que afetem seus interesses. Poderá também reclamar à ANPD e aos órgãos competentes.
Pedidos sobre clientes finais podem ser enviados ao estúdio responsável ou diretamente a contato@vtatech.com.br. A VTATECH localizará o contexto e encaminhará ou apoiará a solução conforme seu papel; não condicionará o recebimento à manutenção de assinatura paga. O atendimento ocorre em horário comercial, com resposta inicial em até 48 horas corridas do recebimento, respeitados deveres legais mais curtos ou imediatos. A resposta indicará encaminhamento, medidas, limitações justificadas ou necessidade proporcional de confirmação de identidade; o prazo de resposta inicial não substitui o prazo específico para concluir o exercício de cada direito. Não se cobra pelo exercício desses direitos.
Os prazos seguem o direito e o enquadramento aplicáveis; por exemplo, a LGPD prevê resposta simplificada imediata ou declaração completa de acesso em até 15 dias, observadas regras específicas cabíveis. A existência de atendimento comercial não substitui o prazo de direitos ou a comunicação de incidente. Negativa ou conservação serão fundamentadas e poderão ser contestadas pelo mesmo canal.
11. Idade, aparelho e atualizações
O INK+ é destinado a profissionais adultos e ao atendimento de clientes finais adultos. Política de estúdio ou autorização de responsável não superam proibição legal de tatuar menores; em São Paulo há proibição na Lei estadual nº 9.828/1997. Dados de menores eventualmente identificados devem ser tratados de forma restrita para avaliar e corrigir a situação, respeitando melhor interesse e obrigações legais, sem presumir autorização para o procedimento.
O navegador conserva sessão, preferências de tema, estúdio, agenda e cache PWA para funcionamento. Medição opcional depende da escolha de cookies. Sair da conta, revogar uma integração e excluir os dados têm efeitos diferentes, descritos nas respectivas telas e nesta política.
Mudanças relevantes serão comunicadas antes da vigência, com novo consentimento quando exigido para alteração de finalidade. Uma atualização não cria aceites retroativos. As versões aplicáveis serão preservadas para consulta e reprodução.
VTATECH · CNPJ 68.940.046/0001-24 · contato@vtatech.com.br