Política de Privacidade

Tratamento de Dados Pessoais - LGPD (Lei nº 13.709/2018)

Versão: 1.1 | Data de vigência: 11 de junho de 2026

Jurisdição: Brasil - LGPD (Lei nº 13.709/2018) | Marco Civil da Internet (Lei nº 12.965/2014) | Código de Defesa do Consumidor (Lei nº 8.078/1990) | Lei de Direitos Autorais (Lei nº 9.610/1998) | Lei de Propriedade Industrial (Lei nº 9.279/1996)

TattooPop Ltda | CNPJ 52.755.693/0001-26 | NIRE 31214578939 | Protocolo JUCEMG nº 23/601.370-0

1. Identificação do Controlador

O controlador dos dados pessoais tratados no âmbito desta Política é a TATTOOPOP LTDA, inscrita no CNPJ sob o nº 52.755.693/0001-26, NIRE 31214578939, com sede na Rua Quatorze, nº 97, Bairro Milanês, Contagem/MG, CEP 32.143-150, doravante denominada "TattooPop".

O Encarregado pelo Tratamento de Dados Pessoais (DPO) pode ser contatado pelo e-mail: privacidade@tattoopop.com.br, ou pelo endereço postal acima indicado, com menção expressa ao departamento de Privacidade e Proteção de Dados.

Na ausência de DPO externo nomeado formalmente, as funções do encarregado são exercidas por membro do quadro societário responsável pela área de gestão, que responde perante a ANPD e os titulares pelas obrigações previstas nos arts. 41 e 42 da LGPD.

2. Dados Coletados

2.1 Dados fornecidos diretamente pelo Usuário (Cliente B2C)

• Nome completo, CPF, data de nascimento e endereço de e-mail.
• Número de telefone celular.
• Fotografia de perfil (opcional).
• Dados de comunicação: mensagens trocadas na Plataforma entre Artistas e Clientes.

2.2 Dados fornecidos diretamente pelo Artista Parceiro ou Estúdio (B2B)

• Nome completo ou razão social, CPF ou CNPJ/MEI.
• Dados de contato profissional: endereço de e-mail, telefone e endereço do estúdio ou localização de atendimento.
• Portfólio de imagens de trabalhos realizados, especialidades e valores praticados.
• Documentos de habilitação profissional: alvará sanitário vigente, registro em órgão regulador quando aplicável.
• Dados bancários para fins de repasse de pagamentos: banco, agência, conta corrente ou chave Pix.
• Documentos de verificação de identidade e antecedentes, quando exigidos pelo processo de onboarding da plataforma.

2.3 Dados de saúde e dados sensíveis (Ficha de Anamnese)

No contexto da prestação de serviços de tatuagem, a TattooPop poderá intermediar a coleta de dados de saúde fornecidos pelo Cliente ao Artista Parceiro por meio da ficha de anamnese disponibilizada na Plataforma. Esses dados incluem, sem limitação:

• Alergias a tintas, pigmentos, anestésicos ou materiais utilizados no processo de tatuagem.
• Doenças crônicas relevantes, tais como diabetes, doenças autoimunes, distúrbios de coagulação e condições de cicatrização.
• Uso de medicamentos anticoagulantes, imunossupressores ou outros que interfiram no procedimento.
• Condições dermatológicas preexistentes na área a ser tatuada.

Esses dados são classificados como dados sensíveis nos termos do art. 5º, II, e tratados com base no art. 11, I ou II, "f", da LGPD (consentimento específico e destacado do titular, ou para tutela da saúde em procedimento realizado por profissional habilitado). O tratamento é realizado exclusivamente para viabilizar a execução segura do serviço contratado.

A responsabilidade pelo tratamento clínico desses dados é do Artista Parceiro ou Estúdio, que atua como controlador independente para essa finalidade específica. A TattooPop atua como operadora no armazenamento técnico dessas informações na Plataforma.

2.4 Dados financeiros

Para fins de processamento de pagamentos, a TattooPop, por meio de gateway de pagamento parceiro, coleta ou acessa os seguintes dados:

• Dados de cartão de crédito ou débito (número, titular, validade e CVV - armazenados e processados exclusivamente pelo gateway parceiro, em conformidade com o padrão PCI-DSS; a TattooPop não armazena dados completos de cartão).
• Chave Pix e dados de conta bancária para recebimento por Artistas Parceiros.
• Histórico de transações, valores, datas e identificadores de pagamento para fins de controle financeiro e cumprimento de obrigações fiscais.

2.5 Dados biométricos e de imagem

Fotografias de tatuagens realizadas em clientes, quando publicadas no portfólio do Artista na Plataforma e vinculadas à identificação de uma pessoa natural, podem ser classificadas como dados biométricos nos termos do art. 5º, II, da LGPD. O tratamento dessas imagens está condicionado ao consentimento específico do titular (Cliente), obtido por meio de termo próprio no momento do cadastro ou da publicação.

O Artista Parceiro é o único responsável por obter e documentar a autorização do Cliente para utilização das imagens em seu portfólio. A TattooPop não se responsabiliza pelo uso não autorizado de imagens realizado de forma autônoma pelo Artista fora da Plataforma.

2.6 Dados coletados automaticamente

• Dados de navegação: endereço IP, tipo e versão do navegador ou do sistema operacional, identificadores de dispositivo.
• Dados de geolocalização (mediante consentimento expresso do Usuário).
• Dados de uso: funcionalidades acessadas, tempo de sessão, páginas visitadas, erros encontrados.
• Cookies e tecnologias similares, conforme descrito na Política de Cookies, disponível em www.tattoopop.com.br/legal/cookies.

2.7 Dados de terceiros

Quando o usuário utiliza login social (Google, Apple ou Facebook), recebemos dados básicos de perfil conforme as permissões concedidas na respectiva plataforma.

3. Finalidades e Bases Legais

Nota sobre legítimo interesse: Para as finalidades baseadas no legítimo interesse (art. 7º, IX, LGPD), a TattooPop realiza internamente o teste de balanceamento (Legitimate Interest Assessment - LIA), verificando que o interesse perseguido não prevalece de forma desproporcional sobre os direitos e liberdades fundamentais dos titulares, especialmente no que se refere a análises de comportamento de uso da Plataforma.

4. Compartilhamento de Dados

4.1 Definição de papéis no ecossistema B2B2C

Para fins de aplicação da LGPD, os papéis no tratamento de dados na Plataforma TattooPop são definidos da seguinte forma:

• TattooPop (Controladora principal): determina as finalidades e os meios do tratamento de dados dos Clientes (B2C) e dos Artistas Parceiros (B2B) no âmbito das funcionalidades da Plataforma.
• Artistas Parceiros e Estúdios (Controladores independentes): quando tratam dados de Clientes para fins próprios e autônomos, como elaboração de fichas de anamnese clínica, envio de comunicações diretas ao cliente fora da Plataforma e gestão interna de seus próprios cadastros. Nessa condição, os Artistas são integralmente responsáveis pelo cumprimento da LGPD em relação ao tratamento que realizam de forma independente.
• Artistas Parceiros e Estúdios (Operadores da TattooPop): quando utilizam as ferramentas SaaS da Plataforma (agenda, CRM, prontuário digital) para tratar dados de Clientes seguindo as instruções técnicas e os limites definidos pela TattooPop. Nessa condição, estão sujeitos às regras estabelecidas no Contrato para Artistas e Parceiros.
• Provedores de serviços tecnológicos (Operadores): atuam exclusivamente sob instrução da TattooPop, estando vinculados por acordos de confidencialidade e proteção de dados.

4.2 Hipóteses de compartilhamento

A TattooPop pode compartilhar dados pessoais nas seguintes situações:

• Com Artistas Parceiros: dados do Cliente estritamente necessários para a execução do agendamento (nome, contato e, quando aplicável, localização), limitados à finalidade de prestação do serviço contratado.
• Com prestadores de serviços de pagamento (gateways e adquirentes): dados necessários para processar transações financeiras, nos termos dos contratos firmados com esses prestadores, que atuam como operadores ou controladores independentes conforme o modelo adotado pelo gateway.
• Com provedores de infraestrutura em nuvem e de serviços tecnológicos (hosting, e-mail, analytics), na condição de operadores, sujeitos a acordos de confidencialidade e de proteção de dados. Os provedores atualmente utilizados incluem, sem limitação, serviços de computação em nuvem de grandes plataformas internacionais (como Amazon Web Services, Google Cloud Platform ou Microsoft Azure), podendo essa lista ser atualizada conforme a evolução da infraestrutura da startup.
• Com autoridades públicas, judiciais ou regulatórias: quando exigido por lei, por ordem judicial ou por autoridade competente, incluindo a ANPD, Ministério Público, Procon e autoridades sanitárias (ANVISA e equivalentes estaduais).
• Em caso de fusão, aquisição, cisão ou reestruturação societária, o adquirente ou a entidade resultante assumirá as obrigações desta Política, sendo os titulares notificados previamente sempre que possível.

A TattooPop NÃO vende, aluga ou cede dados pessoais de Usuários a terceiros para fins comerciais independentes.

5. Transferência Internacional de Dados

Algumas atividades da TattooPop envolvem o processamento de dados por prestadores de serviços localizados fora do Brasil, especialmente provedores de infraestrutura em nuvem (ex.: Amazon Web Services servidores nos EUA e/ou América Latina; Google Cloud Platform; Stripe ou outros gateways de pagamento internacionais). Nessas hipóteses, a TattooPop adota as salvaguardas previstas no art. 33 da LGPD, incluindo:

• Cláusulas contratuais padrão (Standard Contractual Clauses) celebradas com os prestadores;
• Verificação do nível adequado de proteção do país ou organização destinatária, conforme decisões de adequação da ANPD;
• Adoção de mecanismos de certificação e selos de boas práticas reconhecidos internacionalmente, quando disponíveis.

Alinhamento com o GDPR (Regulamento (UE) 2016/679): Em antecipação à expansão prevista para a América Latina e a eventuais atendimentos a usuários localizados no Espaço Econômico Europeu, a TattooPop adota, na medida do possível, práticas alinhadas ao GDPR, incluindo:

• Princípios de privacy by design e privacy by default no desenvolvimento das funcionalidades da Plataforma;
• Garantia de direitos de acesso, portabilidade e eliminação equivalentes aos previstos nos arts. 15 a 22 do GDPR;
• Mecanismos de transferência internacional compatíveis com as Cláusulas Contratuais Padrão aprovadas pela Comissão Europeia.

6. Direitos dos Titulares

Nos termos do art. 18 da LGPD, o titular tem direito a:

1. Confirmação da existência do tratamento de seus dados.
2. Acesso aos dados pessoais tratados.
3. Correção de dados incompletos, inexatos ou desatualizados.
4. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
5. Portabilidade dos dados a outro fornecedor de serviços ou produtos, mediante requisição expressa.
6. Eliminação dos dados pessoais tratados com o consentimento do titular, ressalvadas as hipóteses de conservação previstas em lei.
7. Informação sobre as entidades públicas e privadas com as quais a TattooPop realizou uso compartilhado de dados.
8. Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
9. Revogação do consentimento, nos termos do art. 8º, § 5º, da LGPD.

Para exercer seus direitos, o Usuário deve enviar uma solicitação ao DPO pelo e-mail privacidade@tattoopop.com.br. A TattooPop responderá em até 15 (quinze) dias úteis, podendo solicitar verificação de identidade prévia.

O exercício dos direitos previstos nesta seção aplica-se tanto a Clientes (B2C) quanto a Artistas Parceiros e Estúdios (B2B) no que se refere aos seus dados pessoais tratados pela TattooPop.

Para dados tratados pelos Artistas Parceiros em sua condição de controladores independentes, os titulares devem exercer seus direitos diretamente perante o respectivo Artista ou Estúdio.

A TattooPop se reserva o direito de recusar ou condicionar o atendimento a solicitações manifestamente infundadas, excessivas ou que conflitem com obrigações legais de retenção de dados, comunicando ao titular os motivos da recusa no mesmo prazo de resposta estabelecido acima.

7. Segurança dos Dados

A TattooPop adota medidas técnicas e organizacionais adequadas para proteger os dados pessoais contra acesso não autorizado, perda, destruição, alteração ou divulgação indevida, incluindo:

• Criptografia de dados em trânsito (TLS/HTTPS) e em repouso.
• Controles de acesso baseados em funções (RBAC) com o princípio do mínimo privilégio.
• Monitoramento contínuo de segurança e testes de vulnerabilidade periódicos.
• Autenticação em múltiplos fatores (MFA) para acessos administrativos aos sistemas internos.
• Políticas internas de gestão de incidentes de segurança com responsabilidades e fluxos definidos.
• Segregação de ambientes de desenvolvimento, homologação e produção.

7.1 Plano de Resposta a Incidentes

Em caso de incidente de segurança que possa acarretar risco ou dano relevante ao titular, a TattooPop adotará o seguinte fluxo mínimo de resposta:

1. Identificação e contenção: isolamento imediato do sistema ou processo afetado para limitar o escopo do incidente.
2. Avaliação de risco: classificação do incidente por severidade (baixa, média, alta ou crítica) com base no volume de dados afetados, na sensibilidade das informações e no potencial de dano aos titulares.
3. Notificação interna: comunicação imediata ao responsável pelo DPO e ao quadro de gestão da TattooPop.
4. Notificação à ANPD: incidentes classificados como de risco relevante serão comunicados à Autoridade Nacional de Proteção de Dados no prazo de até 72 (setenta e duas) horas a partir da confirmação do incidente, em conformidade com as orientações práticas da ANPD e com o art. 48 da LGPD.
5. Notificação aos titulares afetados: os titulares cujos dados tenham sido comprometidos serão notificados em prazo razoável, com informações claras sobre a natureza do incidente, os dados envolvidos, os riscos identificados e as medidas de mitigação adotadas.
6. Documentação: registro formal do incidente, das ações tomadas e das lições aprendidas, mantido pelo prazo de 5 (cinco) anos para fins de auditoria interna e comprovação perante a ANPD.

A TattooPop não se responsabiliza por incidentes de segurança originados exclusivamente por ação ou omissão do próprio titular (ex.: compartilhamento de credenciais de acesso ou uso de dispositivos comprometidos).

8. Cookies e Tecnologias Similares

A TattooPop utiliza cookies e tecnologias similares conforme descrito na Política de Cookies, disponível em www.tattoopop.com.br/legal/cookies.

9. Dados de Menores

A TattooPop não coleta nem trata, de forma intencional, dados pessoais de pessoas com menos de 18 (dezoito) anos, em conformidade com o art. 14 da LGPD e com a vedação legal à realização de tatuagens em menores sem consentimento dos responsáveis legais.

O cadastro na Plataforma exige declaração de maioridade pelo próprio usuário no momento do registro. Caso o sistema identifique, por qualquer meio, que dados de um menor foram coletados sem o consentimento específico e destacado dos pais ou responsáveis legais, a TattooPop procederá à exclusão imediata desses dados, nos termos do art. 14, §§ 1º e 2º, da LGPD.

O consentimento parental, quando necessário, deve ser verificável e não pode ser meramente declaratório. A TattooPop poderá, a seu critério, solicitar documentação comprobatória da relação de parentesco ou tutela antes de autorizar o cadastro de usuários que, por qualquer meio, declarem ou aparentem ser menores de idade.

10. Política de Retenção, Descarte e Exclusão de Dados

10.1 Critérios gerais de retenção

Os dados pessoais tratados pela TattooPop são mantidos pelo tempo estritamente necessário ao cumprimento das finalidades para as quais foram coletados, observados os prazos legais mínimos e máximos aplicáveis. Os critérios de retenção são definidos com base em:

• Necessidade operacional: o dado é indispensável para a execução da relação contratual ativa;
• Obrigação legal: o dado deve ser mantido por determinação expressa de lei ou regulação (fiscal, trabalhista, sanitária ou de proteção ao consumidor);
• Exercício regular de direitos: o dado pode ser necessário para defesa em processos administrativos ou judiciais.

10.2 Prazos específicos de retenção

10.3 Procedimento de descarte e exclusão

Ao término do prazo de retenção aplicável, ou mediante solicitação legítima do titular nos casos em que a exclusão seja permitida por lei, a TattooPop adotará um dos seguintes métodos de descarte, conforme a sensibilidade e o volume dos dados:

• Anonimização irreversível: remoção ou modificação dos elementos identificadores de forma que o reidentificação seja impossível, permitindo a manutenção dos dados para fins estatísticos sem vínculo com o titular.
• Exclusão definitiva (deleção): remoção permanente dos dados dos sistemas de produção e das cópias de backup, respeitado o ciclo de retenção de backups operacionais (máximo de 90 dias após a exclusão lógica).
• Desidentificação: aplicada a dados que precisem ser mantidos para fins de auditoria ou cumprimento regulatório, removendo os campos de identificação direta.

A TattooPop não realiza exclusão de dados quando a manutenção for necessária para: (i) cumprimento de obrigação legal ou regulatória; (ii) transferência a terceiro, desde que respeitados os requisitos da LGPD; (iii) uso exclusivo da TattooPop, vedado o acesso por terceiros, e desde que os dados sejam anonimizados; ou (iv) exercício regular de direitos em processo judicial, administrativo ou arbitral.

11. Alterações desta Política

Esta Política pode ser atualizada periodicamente. Alterações substanciais serão comunicadas por e-mail e/ou por aviso na Plataforma com antecedência mínima de 15 (quinze) dias. Alterações motivadas por obrigação legal ou decisão de autoridade regulatória poderão ter vigência imediata, sendo os usuários notificados no menor prazo possível. A data e o número da versão vigente estarão sempre indicados no cabeçalho deste documento. O histórico de versões anteriores estará disponível mediante solicitação ao DPO.

12. Contato e DPO

Encarregado de Proteção de Dados (DPO):

• E-mail: privacidade@tattoopop.com.br
• Endereço postal: Rua Quatorze, nº 97, Bairro Milanês, Contagem/MG, CЕР 32.143-150
• Para reclamações à ANPD: www.gov.br/anpd
• Canal de reclamações à ANPD: www.gov.br/anpd

Para titulares localizados em países da União Europeia ou do Espaço Econômico Europeu que desejam exercer direitos previstos no GDPR, o mesmo canal do DPO acima indicado está habilitado para receber e processar essas solicitações, com encaminhamento às autoridades de supervisão competentes quando necessário.