política de Privacidade

Na inscrição — nome, e-mail, telefone, senha (armazenada como hash bcrypt, nunca em texto simples), tipo de conta (TALENTO / EMPRESA / MEMBRO), e para talentos e empresas: disciplina, subcategoria, localização, serviços oferecidos e campos básicos de perfil.

Documentos KYC — passaporte/ID dos Emirados/licença comercial da empresa/selfies, carregados para verificação de identidade. Os documentos KYC são criptografados em repouso, acessados ​​apenas pelo nível de administração SUPPORT/FULL para revisão de correspondência facial e nunca enviados para respostas de perfil público.

Dados operacionais — reservas, ofertas, empregos que você publica ou se candidata, transações (apenas Stripe IDs — não armazenamos números completos de cartão), mensagens entre usuários da plataforma, notificações, avaliações, relatórios, lista de desejos + pesquisas salvas e conteúdo do carrinho (salvo em sua conta para que eles sigam você entre dispositivos).

Dados de notificação push — se você ativar as notificações push, armazenaremos o endpoint que seu navegador emite e suas chaves de criptografia em sua conta, apenas para entregar a notificação. Desativar notificações exclui-o.

Auditoria + dados de segurança — IP de login/agente de usuário, contagem de falhas de login, versão do token, carimbos de data/hora de bloqueio de conta, contadores de limite de taxa e uma trilha de auditoria do administrador registrando qual administrador abriu qual registro e quando.

Para administrar a plataforma: autentique você, encaminhe reservas + pagamentos, envie notificações + recibos por e-mail (via Reenviar), traduza conteúdo público (via Google Tradutor) e evite fraudes. Os dados KYC são usados ​​apenas para verificação de identidade + moderação administrativa; não usamos OCR de documentos para marketing.

Nossas bases legais para processamento são: execução de um contrato (operação de sua conta, reservas, pagamentos), obrigação legal (KYC/antilavagem de dinheiro, manutenção de registros fiscais e contábeis), interesses legítimos (prevenção de fraude, segurança de plataforma, análises anônimas) e consentimento (cookies não essenciais e comunicações de marketing opcionais, que você pode retirar a qualquer momento).

As informações de contato do talento (e-mail, telefone, nome completo) são ocultadas das empresas até que um Contrato de Trabalho seja assinado. A identidade da empresa é vedada aos talentos no feed público de empregos (postagens renderizadas como "Hashtags postaram um emprego" ou anonimizadas por subtipo de empresa). Notas de administração, sinalizadores internos, informações de contato dos pais (para talentos menores de 18 anos), IBAN de pagamento/dados bancários e saldos de crédito básicos nunca aparecem em superfícies públicas.

Os administradores da plataforma podem abrir registros que não são públicos, e vale a pena afirmar isso claramente, em vez de deixar para inferência:

• Mensagens privadas — um administrador no nível exigido pode ler a sequência de mensagens entre dois usuários ao investigar uma disputa, uma denúncia ou uma preocupação de segurança. Cada visualização é gravada na trilha de auditoria do administrador com a identidade do administrador e a hora.
• Mensagens excluídas ("recolhidas") — uma mensagem que você exclui desaparece para o outro participante, mas é retida e permanece visível para os administradores, para que uma disputa ou caso de assédio não possa ser apagado pela parte que a causou. Não trate a exclusão de uma mensagem como apagá-la.
• Documentos KYC — Somente nível de SUPORTE/COMPLETO, para análise de correspondência presencial.
• Detalhes de transações e pagamentos — para reembolsos, disputas e contabilidade.

Os administradores estão sujeitos a políticas internas e seu acesso é registrado. Se você acredita que um administrador fez uso indevido do acesso, escreva para privacy@hashtagsstudios.com.

Um tutor confirmado de um talento menor de 18 anos pode acessar a conta dessa criança para operá-la. Durante a troca, o responsável vê e pode agir com base nos dados da criança – perfil, reservas, ofertas e mensagens. A troca é registrada e uma conta infantil gerenciada não possui login próprio separado. Os detalhes de contato dos pais coletados durante o fluxo de aprovação dos pais nunca são mostrados em superfícies públicas.

• Stripe — pagamentos (Checkout, transferências Connect), verificação de identidade, reembolsos. A política de privacidade da Stripe se aplica aos dados que ela processa em nosso nome.
• Reenviar — entrega de e-mail transacional.
• Google Translate (google-translate-api-x) — tradução automática de conteúdo público em nossas localidades suportadas.
• Hostinger — hospedagem + banco de dados MySQL.
• Cloudflare/image CDN — entrega pública de imagens.

Não vendemos dados de usuários a terceiros para fins publicitários ou qualquer outro fim.

Consulte a política de cookies dedicada. Usamos cookies de sessão para autenticação, um cookie de localidade para preferência de idioma, um cookie de país para onde você está comprando e - somente com o seu consentimento - uma loja funcional "visualizada recentemente" e análises próprias. A análise é anônima, gravada em nosso próprio banco de dados e nunca compartilhada com terceiros; nenhum cookie de rastreamento ou publicidade de terceiros é carregado pela plataforma.

As senhas são armazenadas como hashes bcrypt e verificadas na lista de violações Have I Been Pwned no momento do registro e alteração. A autenticação opcional de dois fatores (TOTP) está disponível em todos os tipos de conta. Os documentos KYC são criptografados em repouso. As ações do servidor são protegidas por CSRF e cada resposta segue uma rigorosa Política de Segurança de Conteúdo. O login, o envio de KYC, o envio de mensagens e o envio de relatórios têm taxa limitada e dez logins com falha bloqueiam uma conta por trinta minutos.

Se ocorrer uma violação de dados pessoais que possa resultar num risco para os seus direitos, notificaremos o Gabinete de Dados dos EAU e, quando necessário, os utilizadores afetados, sem demora injustificada.

Contas ativas: dados retidos enquanto a conta estiver ativa. Após o encerramento da conta: as informações de identificação pessoal são anonimizadas no prazo de 90 dias, exceto quando retidas por motivos legais, fiscais ou de prevenção de fraude (registos financeiros retidos durante 7 anos, de acordo com as normas contabilísticas dos EAU). Os registros de auditoria do administrador são mantidos de acordo com as configurações da plataforma (padrão 12 meses).

• Acesso — solicite uma cópia dos seus dados via /contatos.
• Correção — edite seu perfil no painel ou solicite uma correção para campos que você não pode editar automaticamente.
• Exclusão — solicite a exclusão da conta via /contacts. Honramos as solicitações dentro de 30 dias, sujeitas a obrigações legais de retenção.
• Portabilidade — exportações de perfil de talento + histórico de reservas estão disponíveis mediante solicitação.
• Retirada de consentimento — desative notificações opcionais em suas configurações ou desative cookies analíticos/funcionais/de marketing no banner ou no painel Gerenciar cookies na página Cookies.
• Objeção + restrição — opor-se ou solicitar que restrinjamos o processamento com base em interesses legítimos.
• Reclamação — você pode apresentar uma reclamação ao Escritório de Dados dos Emirados Árabes Unidos (ou, se estiver na UE/EEE/Reino Unido, à sua autoridade supervisora ​​local) se acreditar que seus dados foram tratados indevidamente.

Não tomamos decisões exclusivamente automatizadas que produzam efeitos legais ou igualmente significativos sobre você sem revisão humana.

Talentos menores de 18 anos exigem aprovação dos pais. Os membros devem ter pelo menos 13 anos. Não coletamos intencionalmente dados de menores de 13 anos.

O aplicativo Hashtags Studio para iOS e Android mostra essa mesma plataforma dentro de um shell nativo. Tudo nesta política também se aplica ao aplicativo. Além disso: (a) Notificações push — se você permitir, armazenamos um token de dispositivo em sua conta para que possamos enviar alertas de reservas, mensagens, competições e eventos. A entrega passa pelo Firebase Cloud Messaging (Google) e pelo serviço Apple Push Notification. Você pode desativar as notificações na guia Eu do aplicativo ou nas configurações do telefone, e o token será excluído quando você sair. (b) Câmera e biblioteca de fotos — usadas somente quando você opta por adicionar uma foto ao seu portfólio, cartão de visita ou verificação de identidade; as imagens são carregadas da mesma forma que no site e, de outra forma, nada é lido em sua biblioteca. (c) Face ID, Touch ID e impressão digital — o bloqueio do aplicativo é verificado pelo seu telefone; nunca recebemos seus dados biométricos. O PIN do seu aplicativo é armazenado apenas no seu dispositivo. (d) Relatórios de falhas – diagnósticos de falhas anônimos são enviados ao Firebase Crashlytics para que possamos corrigir os problemas; eles não contêm conteúdo de mensagem ou detalhes de pagamento. (e) Análise – o aplicativo não executa rastreamento de marketing ou análise, e a opção de cookie que você vê no site é definida como essencial somente dentro do aplicativo.

Os dados podem ser processados ​​por nossos processadores terceirizados (Stripe, Resend, Google Translate) na UE, nos EUA e em outras regiões onde operam. Contamos com as salvaguardas contratuais dos processadores (APD, cláusulas contratuais padrão) para essas transferências.

Alterações materiais anunciadas no aplicativo + por e-mail pelo menos 14 dias antes de entrarem em vigor. Dúvidas: privacidade@hashtagsstudios.com (ou via /contacts).

Este conteúdo pode ser atualizado ao vivo por um administrador em /admin/settings (chave: legal.privacy).