Política de Privacidade

1. Quem somos e como falar conosco

A Luméa (“Luméa”, “nós”) é uma plataforma digital que conecta criadoras de conteúdo de beleza, skincare, haircare e cosméticos a produtos de marcas parceiras, mediante comissão por venda. A plataforma é operada por HCA TREINAMENTO E CONSULTORIA EM CIENCIA CAPILAR AVANCADA LTDA, inscrita no CNPJ sob o nº 66.146.489/0001-12, com sede em [Endereço completo], que atua como controladora dos dados pessoais tratados nos termos desta Política (art. 5º, VI, da LGPD).

2. A quem esta Política se aplica

Esta Política se aplica a todas as pessoas cujos dados tratamos ao utilizar o site, o painel, o chat de vendas e os demais serviços da Luméa (em conjunto, a “Plataforma”), em especial:

• Criadoras: influenciadoras e criadoras de conteúdo cadastradas no programa, em qualquer nível (Influencer, Gestora ou Supervisora);
• Clientes: consumidores que acessam o chat de vendas ou o link pessoal de uma Criadora e/ou realizam compras;
• Visitantes: qualquer pessoa que navegue pelas páginas públicas da Plataforma.

Termos como “dado pessoal”, “dado pessoal sensível”, “titular”, “tratamento”, “controlador”, “operador” e “anonimização” têm o significado previsto no art. 5º da LGPD. Os termos iniciados em maiúscula e não definidos aqui têm o significado dado nos Termos de Uso.

3. Quais dados pessoais tratamos

3.1 Dados das Criadoras

Biometria: quando você ativa o acesso por impressão digital, reconhecimento facial ou chave de acesso, a verificação biométrica acontece exclusivamente no seu dispositivo, pelo padrão WebAuthn. A Luméa não recebe nem armazena a sua digital ou a imagem do seu rosto: guardamos apenas uma chave pública criptográfica, o identificador da credencial e um contador técnico.

Dados bancários: os dados bancários e de recebimento são informados por você diretamente ao Parceiro de Pagamentos, no seu ambiente seguro. A Luméa não recebe nem armazena número de conta, chave PIX ou dados de cartão.

3.2 Dados das redes sociais conectadas (OAuth 2.0)

Se você optar por conectar uma rede social, a própria rede pede a sua autorização e nos envia apenas os dados correspondentes às permissões (scopes) que você aprovou:

Também armazenamos os tokens de acesso fornecidos pela rede, sempre criptografados (AES-256-GCM), as permissões concedidas e as datas de conexão e sincronização. Mais detalhes na seção 7.

3.3 Dados dos Clientes

• Conversa no chat de vendas: mensagens enviadas, produtos consultados, itens do carrinho e etapa do atendimento;
• Pedido: nome, e-mail, telefone e, quando informado, CPF; produtos, quantidades e valores; código de referência da Criadora que indicou a compra;
• Pagamento: confirmação recebida do Parceiro de Pagamentos (identificador da transação, status, valor e descrição). Os dados de cartão e de pagamento são tratados exclusivamente pelo Parceiro de Pagamentos e não são acessados pela Luméa.

3.4 Dados de navegação (todos os usuários)

Endereço IP, data e hora de acesso, porta lógica de origem quando disponível, tipo de navegador e dispositivo (user agent), páginas acessadas e cookie de sessão. Estes registros são necessários para o funcionamento e a segurança da Plataforma e para o cumprimento do Marco Civil da Internet (Lei nº 12.965/2014).

3.5 O que não coletamos

• Senhas das suas redes sociais: a autenticação ocorre na página oficial de cada rede;
• Mensagens diretas, comentários privados, listas de seguidores individuais ou conteúdo não autorizado das redes;
• Dados de cartão de crédito ou conta bancária;
• Dados de crianças e adolescentes de forma intencional (seção 16).

4. Para que usamos os dados e com qual base legal

Tratamos dados pessoais somente para finalidades legítimas, específicas e informadas, com base nas hipóteses dos arts. 7º e 11 da LGPD:

Quando usamos o legítimo interesse, avaliamos previamente se ele não se sobrepõe aos seus direitos e liberdades, tratamos apenas os dados estritamente necessários e você pode se opor a esse tratamento (seção 14).

Não utilizamos os seus dados para finalidades incompatíveis com as informadas aqui. Se precisarmos de uma nova finalidade, você será informada previamente e, quando exigido, pediremos novo consentimento.

5. Dados pessoais sensíveis

As informações sobre alergias ou ingredientes a evitar podem revelar dados referentes à saúde, e o tom de pele pode, indiretamente, relacionar-se à origem racial ou étnica. Por cautela, a Luméa trata ambos como dados pessoais sensíveis (art. 5º, II, da LGPD) e adota as seguintes garantias:

• O fornecimento é opcional: o cadastro, a participação no programa e as comissões não dependem dele. A autorização é pedida numa caixa própria, separada do aceite dos Termos e desmarcada por padrão, e os campos só ficam disponíveis depois de você marcá-la. Registramos a data, a hora e a versão desta Política em que a autorização foi dada;
• São usados exclusivamente para selecionar produtos, tons e kits compatíveis com você e evitar o envio de ingredientes que você indicou;
• Nunca são usados para publicidade, perfilamento comercial, seleção, ranqueamento ou decisões sobre a sua participação ou remuneração no programa;
• Não são compartilhados com terceiros, exceto quando estritamente necessário para separar e enviar produtos adequados;
• O tratamento depende do seu consentimento específico e destacado (art. 11, I), que você pode revogar a qualquer momento pelo canal da seção 1. Com a revogação, esses dados são eliminados. Ela não afeta tratamentos já realizados, mas os kits passam a ser enviados com tons e fórmulas neutras;
• As informações de alergia servem apenas para triagem. Elas não substituem o teste de sensibilidade nem a leitura do rótulo, e não constituem avaliação ou orientação médica.

6. Chat de vendas e inteligência artificial

O chat de vendas acessado pelo link pessoal de cada Criadora utiliza um assistente automatizado baseado em modelo de linguagem para responder dúvidas, apresentar produtos e montar pedidos. Sobre esse tratamento:

• As mensagens são processadas para gerar a resposta em servidores operados pela Luméa ou por operadores contratados por ela, e não são compartilhadas com provedores externos de inteligência artificial;
• O conteúdo das conversas não é armazenado em banco de dados após a resposta. Trechos limitados podem constar temporariamente em registros técnicos de erro, usados apenas para diagnóstico;
• As respostas são geradas automaticamente e podem conter imprecisões. Preço, disponibilidade, composição e condições válidas são sempre os exibidos no catálogo e no checkout;
• O assistente não oferece orientação médica ou dermatológica. Em caso de condição de saúde, gravidez, lactação ou alergia, consulte um profissional;
• Evite informar dados sensíveis ou desnecessários no chat;
• O chat não toma decisões que produzam efeitos jurídicos sobre você. A compra só é concluída com a sua confirmação no checkout do Parceiro de Pagamentos.

7. Redes sociais conectadas (OAuth 2.0)

7.1 Como funciona

A conexão com TikTok, Instagram e YouTube é opcional e usa o protocolo OAuth 2.0. Ao clicar em “ligar” no painel, você é levada à página oficial da rede, onde faz o login e decide se autoriza o acesso. A Luméa nunca vê nem armazena a sua senha. Usamos códigos de verificação de uso único (state) contra falsificação de solicitações e, no Google, PKCE.

7.2 O que fazemos e o que não fazemos

• Usamos os dados apenas para verificar a sua conta e a sua audiência, exibir métricas no seu painel e, quando a rede for a sua plataforma principal, atualizar o número de seguidores e o @ do seu perfil;
• As permissões são somente de leitura: não publicamos, não comentamos, não curtimos, não enviamos mensagens e não alteramos nada nas suas contas;
• Os dados das redes são visíveis apenas para você e para a equipe autorizada da Luméa responsável pelo programa. Não os vendemos, não os usamos para publicidade direcionada e não os agregamos para obter informações sobre o negócio das próprias redes.

7.3 Como desconectar e revogar

Você pode desconectar qualquer rede a qualquer momento no painel (Definições → Plataformas ligadas → desligar). Ao desconectar, revogamos o token junto à rede quando ela oferece esse recurso e apagamos os tokens imediatamente. Você também pode revogar diretamente em cada rede:

• TikTok: no aplicativo, em Configurações e privacidade → Segurança → Apps e serviços (gerenciar permissões);
• Instagram: em Configurações → Apps e sites (ou na Central de Contas da Meta);
• Google/YouTube: na página de permissões da sua Conta Google: security.google.com/settings/security/permissions.

7.4 Disposições específicas do YouTube e do Google

• A Luméa utiliza os YouTube API Services. Ao conectar o seu canal, você concorda com os Termos de Serviço do YouTube, e o tratamento pelo Google é regido pela Política de Privacidade do Google;
• O uso e a transferência, para qualquer outro aplicativo, de informações recebidas das APIs do Google obedecerão à Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado;
• Os dados obtidos do YouTube são atualizados ou eliminados em até 30 dias. As estatísticas do canal só são mantidas enquanto a sua autorização for válida, o que verificamos periodicamente;
• Se você revogar o acesso ou pedir a exclusão, apagamos os dados obtidos do YouTube em até 7 dias corridos. Isso não afeta nenhum dado armazenado pelo próprio YouTube: para excluir conteúdo do YouTube, use o próprio YouTube.

7.5 Meta e TikTok

O acesso aos dados do Instagram segue os Termos da Plataforma e as Políticas de Desenvolvedor da Meta. O acesso ao TikTok segue os Termos para Desenvolvedores do TikTok. O tratamento feito pelas próprias redes é regido pelas políticas de privacidade de cada uma. As instruções para excluir os dados obtidos dessas redes estão na seção 15.

8. Com quem compartilhamos dados

A Luméa não vende, não aluga e não comercializa dados pessoais. Compartilhamos dados apenas quando necessário e com os seguintes destinatários:

• Parceiro de Pagamentos e checkout: Digital Manager Guru (gestão de afiliadas, ofertas, checkout e divisão de comissões) e Pagar.me (processamento de pagamentos e repasse). Eles recebem nome, e-mail, telefone, CPF, itens, valores e o código de afiliada necessários para processar compras e comissões, e atuam conforme as próprias políticas de privacidade;
• Redes sociais conectadas: TikTok, Meta (Instagram) e Google (YouTube), apenas para autorização e leitura dos dados que você aprovou;
• Marcas parceiras e logística: para separar e enviar kits e produtos, quando aplicável (nome, endereço, telefone e preferências de produto);
• Infraestrutura e tecnologia: provedores de hospedagem, servidores (inclusive os que executam o assistente do chat), banco de dados e e-mail, que atuam como operadores sob nossas instruções e com obrigações de confidencialidade e segurança;
• Fontes tipográficas: as páginas carregam fontes do Google Fonts, cujo servidor recebe o seu endereço IP e dados técnicos do navegador ao exibir a página;
• Autoridades: mediante ordem judicial, requisição de autoridade competente ou para cumprir obrigação legal;
• Operações societárias: em caso de fusão, aquisição, cisão ou venda de ativos, com a manutenção das garantias desta Política.

Criadoras não recebem os dados pessoais completos dos Clientes que compram pelos seus links. Quando houver acesso a qualquer informação de Clientes, ela é de uso restrito ao programa, nos termos dos Termos de Uso.

9. Transferência internacional de dados

Alguns parceiros, como Google, Meta e TikTok, podem armazenar ou processar dados em servidores fora do Brasil. Essas transferências ocorrem apenas nas hipóteses do art. 33 da LGPD e da regulamentação da ANPD (Resolução CD/ANPD nº 19/2024), por exemplo quando necessárias à execução de contrato ou de procedimentos preliminares solicitados por você (art. 33, IX), ou amparadas por cláusulas-padrão contratuais ou outros mecanismos reconhecidos. Exigimos dos parceiros um nível de proteção compatível com o da legislação brasileira.

10. Por quanto tempo guardamos os dados

Mantemos os dados apenas pelo tempo necessário às finalidades informadas, ou pelo prazo exigido por lei:

Encerrados os prazos, os dados são eliminados ou anonimizados, salvo as hipóteses de conservação do art. 16 da LGPD.

11. Como protegemos os dados

Adotamos medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (art. 46 da LGPD), entre elas:

• Tráfego criptografado por HTTPS/TLS;
• Senhas armazenadas apenas como hash bcrypt; acesso opcional por biometria/passkey (WebAuthn);
• Tokens das redes sociais criptografados com AES-256-GCM, com chaves mantidas fora do código-fonte;
• Proteção contra falsificação de solicitações (CSRF), códigos state de uso único e PKCE nas integrações;
• Bloqueio de acesso direto a arquivos internos e de configuração; credenciais de integração armazenadas fora do controle de versão;
• Acesso interno restrito pelo princípio do menor privilégio e por necessidade de conhecimento.

Nenhum sistema é totalmente imune a falhas. Você também contribui para a segurança mantendo a sua senha forte e exclusiva, não compartilhando credenciais e encerrando a sessão em dispositivos compartilhados.

12. Incidentes de segurança

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Luméa comunicará a ANPD e os titulares afetados no prazo de 3 dias úteis contados do conhecimento de que o incidente afetou dados pessoais, nos termos do art. 48 da LGPD e do Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024). A comunicação descreverá a natureza dos dados afetados, os riscos e as medidas adotadas para reverter ou mitigar os efeitos.

13. Cookies e tecnologias semelhantes

A Plataforma utiliza apenas cookies estritamente necessários:

Não utilizamos cookies de publicidade, pixels de rastreamento de redes sociais nem ferramentas de análise comportamental. Se isso mudar, atualizaremos esta Política e, quando exigido, pediremos o seu consentimento antes de ativar qualquer cookie não essencial. Você pode bloquear ou apagar cookies nas configurações do navegador, mas, sem o cookie de sessão, não será possível entrar no painel.

14. Seus direitos como titular

Nos termos do art. 18 da LGPD, você pode, a qualquer momento e gratuitamente:

• Confirmar a existência de tratamento e acessar os seus dados;
• Corrigir dados incompletos, inexatos ou desatualizados (muitos podem ser editados direto no painel);
• Pedir a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Solicitar a portabilidade dos dados a outro fornecedor, observados os segredos comercial e industrial;
• Pedir a eliminação dos dados tratados com base no consentimento, ressalvadas as hipóteses do art. 16;
• Saber com quais entidades públicas e privadas compartilhamos os seus dados;
• Ser informada sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
• Revogar o consentimento, sem prejuízo dos tratamentos realizados anteriormente;
• Opor-se a tratamento realizado com base em legítimo interesse, em caso de descumprimento da LGPD;
• Pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem os seus interesses (art. 20), como sinais automáticos de fraude ou critérios automáticos de nível de carreira.

Como exercer: envie um e-mail para privacidade@hairclassclub.com.br a partir do e-mail cadastrado, informando o direito que deseja exercer. Para proteger você, podemos solicitar informações adicionais para confirmar a sua identidade. A confirmação de existência ou o acesso em formato simplificado são fornecidos imediatamente. A declaração completa é fornecida em até 15 dias (art. 19 da LGPD).

Você também pode peticionar à Autoridade Nacional de Proteção de Dados (ANPD) e aos órgãos de defesa do consumidor.

15. Instruções para exclusão de dados

Esta seção atende às exigências de transparência das plataformas conectadas (Meta, TikTok e Google) e da LGPD. Você pode excluir os seus dados de qualquer uma das formas abaixo:

1. Desconectar uma rede social: entre no painel → Definições → Plataformas ligadas → desligar. Os tokens são apagados imediatamente e os demais dados obtidos daquela rede em até 7 dias.
2. Remover o acesso pela própria rede: TikTok (Configurações e privacidade → Segurança → Apps e serviços), Instagram (Configurações → Apps e sites) ou Google (página de permissões). Quando a revogação for feita diretamente na rede, eliminaremos os dados obtidos assim que a revogação for detectada, no prazo máximo de 30 dias.
3. Excluir toda a sua conta e os seus dados: envie um e-mail para privacidade@hairclassclub.com.br com o assunto “Exclusão de dados”, a partir do e-mail cadastrado. Confirmaremos o recebimento e concluiremos a exclusão em até 15 dias, informando quais dados precisam ser mantidos por obrigação legal (por exemplo, registros fiscais de comissões) e por quanto tempo.
4. Clientes: envie o pedido para o mesmo e-mail, informando o e-mail usado na compra.

A exclusão dos dados na Luméa não apaga dados armazenados pelas próprias redes sociais nem pelo Parceiro de Pagamentos, que devem ser solicitados diretamente a eles.

16. Crianças e adolescentes

A Plataforma não se destina a menores de 18 anos. O cadastro como Criadora é permitido apenas a pessoas maiores e capazes, e não coletamos intencionalmente dados de crianças ou adolescentes. Observamos o art. 14 da LGPD e o Estatuto Digital da Criança e do Adolescente (Lei nº 15.211/2025). Se identificarmos dados de menores tratados sem amparo legal, eles serão eliminados. Responsáveis legais podem nos contatar pelo canal da seção 1.

17. Decisões automatizadas

Alguns processos podem usar critérios automatizados, como a sinalização de compras suspeitas para prevenção de fraude e o cálculo de indicadores de desempenho usados na avaliação de nível de carreira. Nenhuma suspensão de conta, perda de comissão ou mudança de nível é decidida exclusivamente de forma automatizada sem possibilidade de revisão humana. Você pode pedir informações sobre os critérios utilizados e a revisão da decisão (art. 20 da LGPD), observados os segredos comercial e industrial.

18. Links e serviços de terceiros

A Plataforma contém links e integrações com serviços de terceiros (redes sociais, checkout e pagamentos). Ao acessá-los, você fica sujeita às políticas desses terceiros, pelas quais a Luméa não se responsabiliza. Recomendamos a leitura das respectivas políticas de privacidade.

19. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças legais, regulatórias ou nos nossos serviços. A versão e a data de vigência aparecem no topo da página. Mudanças relevantes serão comunicadas por e-mail ou no painel com antecedência razoável. Quando a mudança envolver nova finalidade que dependa de consentimento, pediremos o seu consentimento novamente.

20. Legislação aplicável

Esta Política é regida pela legislação brasileira, em especial a Lei Geral de Proteção de Dados (Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014) e, nas relações de consumo, o Código de Defesa do Consumidor (Lei nº 8.078/1990). As regras de foro estão nos Termos de Uso. Para Clientes consumidores, fica sempre assegurado o foro do próprio domicílio.

21. Contato

Dúvidas, solicitações ou reclamações sobre privacidade: