Política de Cookies e Armazenamento Local

Vigente desde: 20 de setembro de 2026 Última atualização: 22 de outubro de 2026

Esta página explica, item por item, o que o SGSx guarda no seu navegador e o que o nosso servidor registra quando você abre o site ou usa o sistema. Ela foi escrita a partir do código que está no ar — não é um texto genérico copiado de modelo.

---

Resumo em uma frase

Sem o seu aceite, nenhum cookie é gravado no domínio sgsx.com.br. Desde 26 de setembro de 2026, o site institucional usa a tag do Google Ads para saber quais dos nossos anúncios trouxeram visitantes e cadastros — e ela só é carregada se você clicar em "Aceitar" no aviso de cookies. Com o aceite, ela grava cookies de publicidade do Google no nosso domínio e envia dados da visita ao Google, no exterior; se você recusar ou não responder, nada do Google Ads é baixado. A tag serve só para medir o resultado dos anúncios: não fazemos remarketing nem personalização de anúncios com ela, e você muda de ideia quando quiser em "Preferências de cookies", no rodapé do site (seção 2.1). Outras duas ferramentas do Google carregadas pelas nossas páginas — a fonte de texto e o botão "Entrar com Google" — podem gravar armazenamento próprio do Google no seu navegador, sob as regras dele. Fora isso, o que existe é armazenamento local no seu navegador para manter você conectado e lembrar preferências simples — e um registro de acesso no nosso servidor, que explicamos abaixo com os campos exatos.

---

Quem responde por esta política

Nome comercial: SGSx Empresa responsável: CDX Soluções Ltda CNPJ: 33.800.321/0001-20 Endereço: RUA 42 QD-36 LT-09 N 98, Cond. das Esmeraldas, Goiânia - GO, CEP 74355-429 Site: sgsx.com.br E-mail de contato: contato@sgsx.com.br Telefone e WhatsApp: (62) 99985-7575 Canal para assuntos de privacidade e dados pessoais: contato@sgsx.com.br

Encarregado pelo tratamento de dados (DPO): a CDX Soluções Ltda se enquadra como agente de tratamento de pequeno porte e utiliza a dispensa prevista no art. 11 da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022. Por isso, em vez de indicar o nome de uma pessoa encarregada, publicamos o canal de atendimento ao titular de dados: contato@sgsx.com.br. Todo pedido enviado a esse endereço é recebido e respondido pela empresa responsável pelo SGSx, nos prazos descritos na seção 10. Se um dia a empresa deixar de se enquadrar como agente de pequeno porte, ou decidir nomear um encarregado mesmo assim, o nome e o contato passarão a constar aqui.

Dois papéis diferentes, e eles importam aqui

Esta página trata de navegação: o que acontece no seu navegador e o que o nosso servidor anota sobre o acesso. Nesse assunto específico, quem decide é a empresa responsável pelo SGSx — portanto, aqui ela atua como controladora.

É diferente do que acontece dentro do sistema com a ficha dos clientes do salão. Naquele caso, quem decide o que é cadastrado, para que serve e por quanto tempo fica é o salão assinante, que é o controlador; o SGSx apenas trata em nome dele, como operador. Isso está explicado em detalhe na Política de Privacidade.

---

1. Por que esta página não se chama só "Política de Cookies"

Cookie é um tipo específico de arquivo que um site grava no navegador e que é reenviado automaticamente ao servidor a cada requisição. O SGSx não cria nenhum cookie próprio. A única exceção é a tag do Google Ads: só depois do seu aceite, ela grava cookies do Google no domínio sgsx.com.br (seção 2.1).

O que o sistema usa é outra tecnologia, chamada armazenamento local (localStorage, sessionStorage e Cache Storage). A diferença prática é importante para você: esses dados ficam no seu aparelho e não são enviados sozinhos para ninguém — só o próprio sistema, aberto no seu navegador, consegue lê-los. Chamar esta página apenas de "política de cookies" deixaria de fora a maior parte do que existe.

Há, porém, uma ressalva que precisa ser dita com todas as letras: nossas páginas carregam duas ferramentas do Google — a fonte de texto usada no visual e o botão "Entrar com Google" na tela de login do sistema e no formulário de cadastro do site (uma terceira, a tag do Google Ads, só carrega com o seu aceite e está na seção 2.1). Quando o seu navegador busca esses arquivos nos servidores do Google, o Google pode gravar armazenamento próprio dele no seu navegador, inclusive cookie, segundo as regras e a política de privacidade do Google. Isso não está sob o nosso controle, não é lido por nós e não é usado pelo SGSx para nada. Está detalhado nas seções 4.4 e 7.3.

---

2. Declaração sobre rastreamento e publicidade

Na data desta publicação, verificamos o código do site e do sistema e declaramos:

• Não existe Google Analytics.
• Não existe Google Tag Manager.
• A tag do Google Ads existe desde 26/09/2026, mas só é carregada depois que você clica em "Aceitar" no aviso de cookies. Sem o aceite, ela não é baixada. Detalhes na seção 2.1.
• Não existe pixel do Facebook/Meta.
• Não existe Hotjar, Clarity, gravação de tela ou mapa de calor.
• Fora a tag do Google Ads com o seu aceite, não criamos cookie de publicidade, de perfil ou de rede de anúncios, e não usamos nenhum outro serviço com essa finalidade.
• Não vendemos, alugamos nem cedemos dados de navegação para redes de publicidade.

Sem o seu aceite, o que existe, e já foi dito acima, é o carregamento da fonte de texto e do botão de login do Google. Nenhum dos dois foi colocado ali para medir audiência, criar perfil ou anunciar: um desenha o texto do site, o outro desenha o botão de entrar. Mesmo assim, por serem arquivos servidos pelo Google, o Google vê o seu endereço IP e pode gravar armazenamento dele no seu navegador.

Compromisso, para que esta declaração continue verdadeira: se em algum momento for instalada no site ou no sistema qualquer uma dessas ferramentas — Google Analytics, Google Tag Manager, tag de conversão ou de remarketing do Google Ads, ou pixel da Meta/Facebook —, esta página será atualizada, no máximo, junto com a entrada da ferramenta no ar — e a ferramenta só será carregada depois do seu aceite —, passará a listar cada cookie ou identificador criado por ela, com finalidade e duração, e o site passará a exibir um aviso de consentimento permitindo aceitar ou recusar os itens não essenciais. Foi o que aconteceu com a tag do Google Ads em 26/09/2026: esta página foi publicada junto com a tag, o aviso passou a aparecer no site e, como a tag só é carregada depois do aceite, nenhuma visita foi medida antes de este texto estar no ar. As demais ferramentas negadas acima continuam inexistentes.

2.1 A tag do Google Ads (desde 26/09/2026)

• O que é: o script oficial do Google (gtag.js, identificador da nossa conta AW-790684373), instalado no site institucional como o próprio Google orienta. Ele é baixado do endereço www.googletagmanager.com, mas não é um contêiner do Google Tag Manager: carrega apenas a tag do Google Ads. Não é carregado dentro do sistema (sgsx.com.br/sistema).
• Para que serve — e só para isso: medir conversão, isto é, informar ao Google Ads que alguém que clicou num anúncio nosso chegou ao site e, quando configurado, que concluiu o cadastro de um salão. Assim sabemos quais anúncios trazem clientes e deixamos de pagar pelos que não trazem.
• O que ela NÃO faz: não fazemos remarketing (anúncios que "perseguem" quem visitou o site) nem personalização de anúncios com ela. O sinal de personalização vai sempre negado, mesmo depois do aceite. As conversões otimizadas do Google (envio de e-mail ou telefone ao Google, mesmo criptografado) não são usadas.
• Quando carrega: somente depois que você clica em "Aceitar" no aviso de cookies. O consentimento nasce negado (modo de consentimento básico do Google). Se você clicar em "Recusar" ou não responder, o script não é baixado, nenhum endereço do Google Ads é chamado e nenhum cookie é gravado.
• Como lembramos da sua resposta: a escolha fica gravada no seu navegador, em localStorage, no item sgsx_consentimento_medicao (valor aceito ou recusado), para não perguntar de novo a cada página. Esse item não é enviado a ninguém e fica até você mudar a escolha ou limpar os dados do site.
• O que o Google recebe, com o seu aceite: o seu endereço IP, os dados normais do navegador (tipo, idioma, tela), o endereço da página visitada e a página de origem, o identificador do clique no anúncio (gclid, quando você chega por um anúncio) e, quando configurado, o aviso de que um cadastro foi concluído. Nunca enviamos ao Google o seu nome, e-mail, telefone, CPF/CNPJ ou os dados do salão.
• Base legal: o seu consentimento (LGPD, art. 7º, I). Como o Google trata esses dados fora do Brasil, o próprio aviso informa isso antes do clique, e o aceite é também o consentimento específico e em destaque para a transferência internacional (art. 33, VIII) — ver seção 7.3.
• Como mudar de ideia: clique em "Preferências de cookies", no rodapé de qualquer página do site, e depois em "Recusar". O site volta a negar o consentimento, apaga os cookies _gcl_* e o item _gcl_ls do domínio sgsx.com.br e recarrega a página sem a tag. Recusar é tão fácil quanto aceitar. A retirada vale daqui para a frente: o que já foi enviado ao Google antes dela segue as regras do Google. Os cookies do domínio do próprio Google (últimas linhas da tabela) não podem ser apagados por nós; para eles, use a limpeza de cookies do navegador (seção 5) e, para os anúncios do Google em geral, https://myadcenter.google.com.

Gravados somente após o aceite:

Os nomes e as durações acima são os que o Google divulga para as suas tags de anúncio (https://policies.google.com/technologies/cookies). O Google pode acrescentar ou renomear cookies sem nos avisar; quando percebermos, esta tabela é atualizada. Os cookies do domínio do Google seguem a política dele (https://policies.google.com/privacy). O Google fica no exterior: isso é transferência internacional de dados, tratada na seção 7.3.

---

3. O site institucional (sgsx.com.br): o que fica no seu navegador

As páginas públicas — início, funcionalidades, planos, sobre e contato — não gravam cookie nosso. Sem o seu aceite no aviso de cookies, nenhum cookie é gravado no domínio sgsx.com.br; com o aceite, a tag do Google Ads grava os itens da seção 2.1. Fora isso, o site grava apenas estes itens no seu navegador:

Existe ainda uma memória temporária da aba — não gravada em armazenamento nenhum — que serve para não contar a mesma página duas vezes enquanto você navega de ida e volta. Ela desaparece por completo no instante em que você fecha ou recarrega a aba, e não deixa arquivo nenhum no aparelho.

Ressalvas honestas:

• O site carrega a fonte de texto do Google (fonts.googleapis.com e fonts.gstatic.com) e, na página inicial, fotos do Unsplash (images.unsplash.com). Esse carregamento pode fazer o Google gravar armazenamento próprio dele no seu navegador, sob as regras do Google.
• A visita não é invisível para nós: o servidor registra o acesso. O que é registrado está detalhado na seção 6.
• Quando o cadastro pelo Google está disponível, o formulário de cadastro do site carrega, ao ser aberto, o botão "Entrar com Google" (accounts.google.com/gsi/client) — o mesmo da seção 4.4, com as mesmas consequências.
• O site tem a IA SGSx 360º, um chat que tira dúvidas sobre o produto. A conversa não é gravada no seu navegador nem no nosso banco de dados: fica na memória da página e some quando você a fecha. Mas, para responder, o nosso servidor envia a sua pergunta e as últimas mensagens da conversa a um provedor de inteligência artificial no exterior (Política de Privacidade, seções 12.1 e 14). Não escreva no chat senha, código, documento ou dado de cartão.

---

4. O que o sistema (sgsx.com.br/sistema) guarda no seu navegador

Esta seção vale para quem tem conta: dono do salão e colaborador com acesso liberado.

4.1 Itens gravados em localStorage

localStorage não tem prazo de validade automático. O que entra ali permanece no navegador daquele aparelho até você sair do sistema (quando for o caso), limpar os dados do site ou desinstalar o aplicativo. Não é enviado a terceiros.

4.2 Itens gravados em sessionStorage

sessionStorage vive apenas enquanto aquela aba estiver aberta. Fechou a aba, apagou. Não sobrevive a reiniciar o navegador nem passa para outra aba.

4.3 Cache do aplicativo instalado (PWA)

O sistema pode ser instalado no celular ou no computador como aplicativo. Para isso, ele usa um service worker, que guarda arquivos no aparelho em dois espaços de cache: cdxsaloes-casca-<versão> e cdxsaloes-assets.

• O que fica guardado: apenas os arquivos do programa — a página base e os arquivos de código e estilo daquela versão. Isso é o que permite o app abrir mesmo com internet ruim e não baixar tudo de novo a cada uso.
• O que NÃO fica guardado: nenhuma resposta do sistema. Agenda, comandas, caixa, clientes e qualquer outro dado vêm sempre da rede, nunca do cache. Essa é uma regra técnica do projeto, e a razão é direta: mostrar um agendamento desatualizado ou um saldo que já mudou seria pior do que não mostrar nada.
• Quanto dura: o cache da versão antiga é descartado quando uma versão nova é instalada.
• Como apagar: desinstale o aplicativo, ou limpe os dados do site pelo navegador (seção 5).

4.4 O botão "Entrar com Google" (novo, desde 19/09/2026)

Desde 19 de setembro de 2026, a tela de login do sistema tem o botão "Entrar com Google". Para desenhar esse botão oficial, a tela carrega uma biblioteca do próprio Google, em https://accounts.google.com/gsi/client.

O que você precisa saber, em ordem de importância:

• Essa biblioteca é do Google, não é nossa. Nós não a hospedamos, não a modificamos e não conseguimos ver nem alterar o que ela grava. Ela é baixada pelo seu navegador direto dos servidores do Google.
• Por que ela está ali: para oferecer o login com a conta Google, sem que você precise criar e memorizar mais uma senha. É a única função dela no SGSx.
• O que o Google recebe: ao carregar essa biblioteca, o Google vê o seu endereço IP e os dados normais de uma conexão de internet. Ele pode, sob as regras dele, gravar armazenamento próprio no seu navegador — inclusive cookie do domínio google.com.
• Sob quais regras isso acontece: as do Google, descritas na Política de Privacidade do Google, em https://policies.google.com/privacy. O SGSx não responde por esse tratamento e não tem como impedi-lo enquanto o botão estiver carregado na tela de login.
• O SGSx não recebe a sua senha do Google. Recebemos apenas um comprovante assinado pelo Google contendo seu e-mail, nome, foto de perfil e o identificador da sua conta Google. Nosso servidor confere a assinatura desse comprovante antes de aceitar o login.
• Usar o botão é opcional. O login por e-mail e senha continua funcionando normalmente. Mas atenção, para não haver engano: a biblioteca é carregada quando a tela de login abre, mesmo que você não clique no botão.

4.5 Duas observações sobre coisas que as pessoas costumam supor

• A opção "Continuar conectado" na tela de login é apenas visual nesta versão: ela não altera o que é gravado no seu navegador.
• Dados de cartão de crédito não passam por armazenamento local. Hoje o sistema não pede cartão. Se um dia pedir (recurso pago, Termos de Uso, cláusula 4.3), número, código de segurança e token não são gravados por nós em lugar nenhum: vão para o processador de pagamentos e ficam no ambiente dele.

---

5. Como apagar tudo isso

No sistema: clicar em Sair já remove a sua sessão e as chaves de acesso daquele aparelho.

Para apagar todo o armazenamento local do SGSx:

• Chrome / Edge (computador): cadeado ao lado do endereço → *Configurações do site* → *Excluir dados*. Ou Ctrl+Shift+Delete → *Cookies e outros dados do site*.
• Chrome (Android): menu (três pontos) → *Configurações* → *Configurações do site* → *Dados armazenados* → procure sgsx.com.br → *Excluir*.
• Safari (iPhone / iPad): *Ajustes* → *Safari* → *Avançado* → *Dados de sites* → procure sgsx.com.br → *Apagar*.
• Firefox: cadeado → *Limpar cookies e dados do site*.
• Aplicativo instalado: desinstale o app pelo próprio aparelho, como qualquer outro aplicativo.

Para retirar o aceite da tag do Google Ads: rodapé do site → "Preferências de cookies" → "Recusar". Os cookies _gcl_* e o item _gcl_ls do domínio sgsx.com.br são apagados na hora e a página recarrega sem a tag. Limpar os dados do site também os remove, e o aviso volta a aparecer na próxima visita.

Sobre o armazenamento do Google: o que o Google grava pelo carregamento da fonte, do botão de login ou, com o seu aceite, da tag do Google Ads (como o IDE, em doubleclick.net) pertence ao domínio do Google, não ao sgsx.com.br. Limpar os dados do nosso site não remove esse conteúdo. Para tratá-lo, use a limpeza geral de cookies e dados do navegador, ou as configurações de bloqueio de cookies de terceiros do seu navegador.

O que acontece depois: você será desconectado, o tema volta ao claro, o menu volta ao estado padrão e os avisos dispensados — inclusive o aviso de cookies do site — voltam a aparecer. Nenhum dado do seu salão é perdido — tudo que é do negócio fica no servidor, não no navegador.

Você também pode usar o modo anônimo ou privado do navegador: nele, tudo o que está descrito acima é apagado ao fechar a janela. O sistema continua funcionando normalmente.

---

6. O que o nosso servidor registra quando você visita o site

Toda vez que uma página do site institucional é aberta, gravamos uma linha de registro de visita. Esse registro alimenta uma tela interna chamada "Acessos ao site", visível apenas ao administrador da empresa responsável pelo SGSx.

O que é gravado:

• o endereço da página aberta (por exemplo, /planos);
• a página de origem, quando existe (o site ou a busca que trouxe você até aqui);
• o seu endereço IP público;
• a identificação do navegador (o "user agent"), e, a partir dele, o tipo de aparelho, o navegador e o sistema operacional;
• a resolução da tela e o idioma configurado no navegador;
• quando você chega por um link de anúncio ou de campanha, os parâmetros de campanha que vieram no endereço (utm_source, utm_medium, utm_campaign, utm_term e utm_content) e o identificador do clique no Google Ads (gclid). Servem para saber qual anúncio trouxe a visita. São gravados com ou sem o aceite do aviso de cookies, porque vão só para o nosso servidor — não para o Google (seção 3, item sgsx_campanha);
• cidade e estado, estimados a partir do endereço IP, e a latitude e a longitude aproximadas que o serviço de geolocalização atribui a esse IP (um ponto da região, e não a posição do seu aparelho);
• a origem da localização, marcada como ip (aproximada, estimada pelo endereço IP) ou nenhuma (não foi possível estimar);
• um código de visitante, explicado a seguir.

O que deixou de ser gravado em 20/09/2026: até essa data, o site institucional também pedia ao navegador a localização precisa do visitante e, quando autorizada, gravava a posição precisa do GPS (latitude, longitude e precisão em metros), rua e bairro, marcando o registro como gps. Isso foi desligado. A partir de 20 de setembro de 2026, o site institucional não pede mais a sua localização precisa — nenhuma página pública exibe a pergunta de permissão do navegador. Registros de visita gravados antes dessa data podem conter essas informações e seguem os prazos de guarda da seção 9. Atenção para não confundir: dentro do sistema, na tela de login, a captura de localização continua existindo, e está explicada nas seções 7 e 8.

Sobre o código de visitante: para contar quantas pessoas diferentes visitaram o site num dia, o servidor gera um código embaralhado a partir do seu IP, do seu navegador e da data de hoje. Como a data entra na conta, amanhã você recebe um código completamente diferente, e o código, sozinho, não liga a sua visita de hoje à de outro dia. Esse código não é gravado no seu navegador, não é um cookie e não acompanha você por outros sites. O endereço IP e a identificação do navegador, porém, ficam gravados no mesmo registro (lista acima) e permitem relacionar visitas de dias diferentes.

Uma ressalva, para ser exato: quando a visita chega por um anúncio, o gclid gravado junto é um identificador que o Google cria para aquele clique. Para nós ele não diz quem você é, mas duas visitas com o mesmo gclid vieram do mesmo clique, e o Google consegue ligá-lo ao clique no anúncio.

Por que fazemos isso: entender de onde vem o interesse pelo produto e quais campanhas trazem visitantes, dimensionar a infraestrutura e detectar abuso ou ataque contra o site.

Base legal: a empresa confirma o legítimo interesse (art. 7º, IX da LGPD) como base legal desse registro de visita, e mantém essa escolha depois de desligar a captura de localização precisa no site — o que reduziu bastante o alcance do que é coletado. Sendo francos, como em todo o resto deste documento: a empresa ainda não elaborou um relatório de impacto à proteção de dados (RIPD) formalizado sobre essa telemetria; existe a análise interna que motivou o desligamento do GPS no site, mas não um documento formal. Esse relatório será elaborado, e, se a ANPD ou o titular o solicitarem, informaremos o estágio em que ele estiver. Não vamos afirmar aqui que ele já existe.

Vale dizer com franqueza: essa telemetria ainda é mais detalhada do que a de um site institucional comum. Preferimos descrevê-la inteira aqui a escondê-la atrás de uma frase vaga.

---

7. Localização: o que mudou em 20/09/2026

Este é o ponto mais sensível desta página, e por isso está escrito por inteiro.

7.1 Onde a localização é pedida hoje

Apenas em um lugar: na tela de login do sistema (sgsx.com.br/sistema). A captura começa quando a tela de login aparece, para que o dado já esteja pronto no momento em que você entra, e serve para compor o registro de acesso descrito na seção 8 — o histórico de segurança da sua conta.

No site institucional, não. Até 19 de setembro de 2026, qualquer página pública do site pedia a localização precisa do visitante. Desde 20 de setembro de 2026 isso está desligado: o site não exibe mais a pergunta de permissão de localização e não coleta mais posição precisa de quem apenas navega. Continua existindo apenas a estimativa de cidade, estado e de uma coordenada aproximada da região a partir do endereço IP, que é aproximada e não depende de autorização, como acontece em praticamente qualquer site da internet.

7.2 Como funciona na tela de login do sistema

• Com a sua autorização: o navegador exibe a pergunta padrão de permissão de localização. Se você autorizar, obtemos a posição precisa do aparelho e a convertemos em rua e bairro. O registro de acesso é marcado como gps.
• Sem a sua autorização, ou se você ignorar a pergunta: não há posição precisa. Obtemos apenas uma localização aproximada a partir do seu endereço IP — normalmente a cidade, com erro que pode chegar a dezenas de quilômetros. O registro é marcado como ip.
• Se nada funcionar: o registro fica marcado como nenhuma e segue sem localização.

Negar a permissão não bloqueia nada. O site abre inteiro, o cadastro funciona e o login funciona igual. A captura nunca segura a navegação e nunca derruba a página.

7.3 Serviços de terceiros que o seu navegador consulta

Para descobrir o IP público, a localização aproximada e para desenhar algumas partes da tela, o seu navegador faz chamadas diretas a serviços externos. Do seu cadastro, eles só recebem o CEP digitado, enviado ao ViaCEP, e — quando configurado e com o seu aceite — o aviso ao Google Ads de que um cadastro foi concluído, sem nenhum dado dele. Todos recebem o seu endereço IP, como acontece em qualquer conexão à internet. São eles:

Isso configura transferência internacional de dados nos termos do art. 33 da LGPD, porque a maior parte desses serviços está fora do Brasil.

Sendo direto, porque é isso que interessa a quem lê: o que existe hoje é apenas a adesão aos termos de uso publicados por cada um desses fornecedores. Não existem cláusulas-padrão da ANPD firmadas, nem cláusulas contratuais específicas assinadas, nem qualquer outra salvaguarda formalizada entre a CDX Soluções e esses serviços. São serviços públicos de internet, consumidos pelo seu navegador nas condições de uso que cada um publica. A empresa avaliará firmar cláusulas-padrão contratuais, ou substituir parte desses serviços por alternativa nacional, e atualizará esta página se isso acontecer. Não vamos escrever aqui que existe uma proteção contratual que ainda não existe.

A exceção é a tag do Google Ads (seção 2.1): ela só é carregada com o seu aceite, e o aviso informa em destaque, antes do clique, que os dados vão para o Google, fora do Brasil. Para ela, a base da transferência é o seu consentimento específico e em destaque (LGPD, art. 33, VIII), que você retira pelo link "Preferências de cookies" do rodapé.

A Política de Privacidade trata do assunto em seção própria.

7.4 Como impedir a localização precisa

• No site institucional não é preciso fazer nada: desde 20/09/2026 ele não pede mais a sua localização.
• Na tela de login do sistema, negue a permissão quando o navegador perguntar. Só isso já basta.
• Se você já autorizou e quer voltar atrás: clique no cadeado ao lado do endereço → *Configurações do site* → *Localização* → *Bloquear*. No iPhone: *Ajustes* → *Safari* → *Localização* → *Negar*.
• Depois de bloquear, os registros passam a ser feitos apenas com a localização aproximada por IP.

---

8. Registro de acesso ao sistema (para quem tem conta)

Além da telemetria do site, o sistema grava uma linha por evento de autenticação: login bem-sucedido, tentativa de login com falha, logout e renovação automática de sessão. Isso vale também para a entrada pelo botão "Entrar com Google".

O que é gravado: o e-mail informado (mesmo quando a tentativa falha), o tipo de evento, se deu certo ou não, o endereço IP, a identificação do navegador, o aparelho, o navegador, o sistema operacional, a origem da localização (gps, ip ou nenhuma) e, quando disponível, latitude, longitude, rua, bairro, cidade e estado.

Para que serve: segurança da conta. É esse registro que permite identificar acesso indevido, tentativa de invasão e uso da conta em lugar inesperado. Também atende à obrigação legal de guarda de registros de acesso a aplicações de internet, prevista no art. 15 da Lei 12.965/2014 (Marco Civil da Internet), que fixa o prazo mínimo de 6 meses.

Quem enxerga: apenas o administrador da empresa responsável pelo SGSx. O dono do salão não vê os registros de acesso de outros salões, e nenhum salão vê os de outro.

Sobre a equipe técnica, dito como é: um número pequeno de pessoas da equipe técnica da CDX Soluções tem acesso técnico ao servidor e ao banco de dados, e portanto pode alcançar esses registros. Esse acesso acontece para suporte ao cliente, investigação de problema e segurança — não para leitura rotineira. Não vamos afirmar aqui que existe registro de auditoria de quem acessou o quê, nem termo de confidencialidade assinado por cada pessoa: seriam garantias que não foram verificadas, e este documento não promete o que não foi conferido.

Bases legais: obrigação legal (art. 7º, II da LGPD) e legítimo interesse em segurança (art. 7º, IX).

---

9. Por quanto tempo esses registros ficam guardados

Aqui precisamos ser exatos, porque uma política que promete o que o sistema não faz não vale nada.

Prazos de guarda que a empresa assume:

Esses prazos podem ser ultrapassados em uma hipótese, e só nela: quando houver cumprimento de obrigação legal ou regulatória ou exercício regular de direitos em processo judicial, administrativo ou arbitral, na forma do art. 16, I e III da LGPD. Nesse caso, o dado fica guardado enquanto durar a exigência.

Como a eliminação é feita hoje, sem maquiagem: a eliminação é feita manualmente, mediante pedido ou revisão periódica. A rotina automática de expurgo está sendo implantada e ainda não está em operação. Ou seja: o prazo da tabela acima é um compromisso que a empresa assume e cumpre quando provocada ou na revisão periódica; a automação que o executaria sozinho, todo dia, ainda não existe. Preferimos dizer isso com todas as letras a deixar você imaginar um apagamento automático que não acontece.

Também é importante saber: dentro do sistema, excluir um registro é uma exclusão lógica. O item sai das telas e deixa de ser usado, mas a linha permanece no banco de dados — entre outras razões, porque um cancelamento de comanda, um atendimento e um pagamento precisam continuar auditáveis. Não prometemos "apagar definitivamente" com um clique, porque não é isso que acontece. A eliminação definitiva de um dado específico é feita mediante pedido pelo canal da seção 10, com os prazos ali descritos.

O armazenamento local do seu navegador, descrito nas seções 4.1 a 4.3, é diferente: ele está no seu aparelho e você pode apagá-lo sozinho a qualquer momento, pelos caminhos da seção 5. O que o Google grava por conta própria (seções 2.1, 4.4 e 7.3) segue os prazos do Google, não os nossos.

---

10. Seus direitos e como exercê-los

Você pode, a qualquer momento e sem nenhum custo, pedir: confirmação de que tratamos dados seus; acesso a esses dados; correção de dado incompleto, inexato ou desatualizado; anonimização, bloqueio ou eliminação de dado desnecessário ou excessivo; portabilidade; informação sobre com quem compartilhamos; e revogação de consentimento, quando o tratamento se basear nele (art. 18 da LGPD). No caso da tag do Google Ads, a revogação é imediata, pelo link "Preferências de cookies" no rodapé do site.

Prazos que assumimos:

• Confirmação e acesso em formato simplificado: de imediato.
• Declaração completa, com origem, critérios e finalidade do tratamento: em até 15 dias contados do pedido (art. 19 da LGPD).
• Entrega de uma cópia dos dados do salão (exportação): em até 15 dias contados do pedido.
• Eliminação definitiva de dados, feita manualmente depois de confirmarmos a sua identidade: em até 30 dias contados da confirmação da identidade, respeitado o que a lei obrigar a manter.

Onde fazer o pedido: pela Central do Titular de Dados, em sgsx.com.br/lgpd. Canal por e-mail: contato@sgsx.com.br — o mesmo canal publicado no início desta página, conforme a dispensa de indicação de encarregado do art. 11 da Resolução CD/ANPD nº 2/2022. Atendimento: segunda a sexta, das 8h às 18h; sábado, das 9h às 13h.

Um esclarecimento necessário: pedidos sobre o que o Google guarda por conta própria precisam ser feitos ao Google, pelos canais indicados na política dele. Nós não temos acesso a esses dados e não conseguimos apagá-los por você.

---

11. Se um dia isso mudar

Se passarmos a usar qualquer tecnologia de medição, análise de audiência ou publicidade — inclusive Google Analytics, Google Tag Manager, tag de conversão ou de remarketing do Google Ads, ou pixel da Meta/Facebook —, faremos, no máximo junto com a entrada no ar e sempre antes de a ferramenta ser carregada no seu navegador:

1. a atualização desta página, listando cada cookie ou identificador criado, sua finalidade e sua duração;
2. a exibição de um aviso no site permitindo aceitar ou recusar os itens não essenciais, com a recusa tão fácil quanto o aceite;
3. o registro da sua escolha e o respeito a ela.

O mesmo vale para a entrada de qualquer novo serviço de terceiro nas nossas páginas, como foi o caso do botão "Entrar com Google" em 19/09/2026: ele entra nesta página com nome, finalidade, dono e política de privacidade.

Foi o que aconteceu em 26/09/2026 com a tag do Google Ads (seção 2.1): esta página foi publicada junto com a tag — que só é carregada depois do aceite, de modo que nenhuma visita foi medida antes de este texto estar no ar —, o aviso com "Aceitar" e "Recusar" passou a aparecer no site — com a recusa tão fácil quanto o aceite — e a sua escolha fica gravada no seu navegador e pode ser mudada a qualquer hora pelo link "Preferências de cookies", no rodapé.

---

12. Alterações desta política

Podemos atualizar este documento para refletir mudanças no sistema ou na legislação. A data no topo sempre indica a versão vigente. Mudanças relevantes — em especial a entrada de qualquer cookie ou de qualquer novo serviço de terceiro — são descritas nesta página, no máximo, no momento em que entram no ar, e o que depende de consentimento só é carregado depois do seu aceite. Se a mudança alterar a finalidade, os dados enviados, a duração ou o destinatário de algo que você já aceitou, o aviso de cookies volta a ser exibido descrevendo a alteração. A forma de comunicar mudanças está também na seção 23 da Política de Privacidade.

Mudança registrada nesta versão (26/09/2026): entrada da tag do Google Ads (AW-790684373) no site institucional, carregada somente após o seu aceite no aviso de cookies. Estão descritos na seção 2.1 os cookies, a finalidade, a duração, o que o Google recebe e como mudar de ideia. Na mesma revisão passaram a constar itens que já existiam e faltavam nesta página: sgsx_campanha e sgsx:cadastro:email, de sessionStorage (seções 3 e 4.2), os parâmetros de campanha e o gclid no registro de visita (seção 6), o botão "Entrar com Google" no formulário de cadastro do site e o chat IA SGSx 360º (seção 3), a coordenada aproximada do IP no registro de visita (seção 6) e as fotos do Unsplash (seção 7.3). Nesta mesma data, as seções 2, 11 e 12 deixaram de dizer que esta página é atualizada "antes de a ferramenta ser ativada" e passaram a dizer "no máximo, junto com a entrada no ar": a tag e esta descrição entraram no ar no mesmo deploy (versão 2.2.6 do site), e foi corrigida a frase publicada nessa versão segundo a qual esta página tinha sido atualizada antes da ativação. Também foi corrigida a frase segundo a qual o código de visitante impedia ligar visitas de dias diferentes (seção 6).

Mudança registrada em 20/09/2026: o site institucional deixou de pedir a localização precisa do visitante. A captura na tela de login do sistema, usada no registro de acesso, foi mantida e está descrita nas seções 7 e 8.

---

Documentos relacionados: Política de Privacidade · Termos de Uso · Central do Titular de Dados