Pedidos de autoridades públicas

O Hei Barber é operado pela empresa inscrita no CNPJ 68.789.468/0001-40. No curso da operação guardamos dados de duas pessoas diferentes: o estabelecimento que assina o serviço e o cliente final que mandou mensagem para aquele estabelecimento pelo WhatsApp.

Esta política descreve o que fazemos quando uma autoridade pública — polícia, Ministério Público, juízo, órgão regulador ou equivalente — nos pede acesso a esses dados. Ela vale tanto para dados que coletamos diretamente quanto para os Dados de Plataforma que recebemos da Meta por meio da API do WhatsApp Business.

Ela não trata de pedidos feitos pelo próprio titular dos dados. Para isso existe a Política de Privacidade, que descreve como exercer os direitos da LGPD.

Nenhum dado sai daqui por pedido informal. Antes de responder, o responsável legal pela empresa confere, obrigatoriamente:

• Quem está pedindo. Autoridade identificada, com cargo, órgão e canal oficial. Pedido que chega de e-mail pessoal, aplicativo de mensagem ou telefone não é atendido — respondemos indicando o canal formal.
• Com que base legal. O pedido precisa citar o dispositivo que o autoriza. Ofício sem fundamentação, ou que se apoie apenas em "investigação em curso", volta com pedido de complemento.
• Se a ordem judicial é necessária. Conteúdo de comunicação — o texto das mensagens trocadas entre o cliente e o negócio — só é entregue mediante ordem judicial, conforme o Marco Civil da Internet. Não entregamos conteúdo por requisição administrativa.
• Se somos a parte certa. Somos operadores dos dados do cliente final; o controlador é o estabelecimento. Quando o pedido puder ser respondido pelo estabelecimento, indicamos isso à autoridade.

Não confirmamos nem negamos a existência de uma conta antes dessa conferência estar concluída.

Quando a conferência acima aponta problema, não cumprimos. Recusamos formalmente, por escrito, explicando o motivo, e quando cabível buscamos orientação jurídica antes de responder. São motivos de recusa, entre outros:

• Pedido sem base legal identificável ou fora da competência do órgão.
• Pedido de conteúdo de mensagens sem ordem judicial.
• Pedido genérico, sem delimitação de pessoa ou período — do tipo “todos os clientes de tal região”.
• Pedido que exija vigilância contínua ou acesso permanente aos nossos sistemas.
• Pedido de dados que não temos, para o qual não vamos criar coleta nova.

Recusar é a posição padrão diante da dúvida. Entregar dado que não deveria ser entregue é irreversível; atrasar uma entrega legítima, não.

Quando o pedido é legítimo e obrigatório, respondemos de forma restrita:

• Só a pessoa citada. Extraímos os registros daquele titular, no período especificado. Nunca exportamos a base de um estabelecimento inteiro, e nunca a base de vários.
• Só os campos pedidos. Se a autoridade pede data e hora de atendimento, não vai junto o histórico de conversa nem o financeiro do estabelecimento.
• Sem dado de terceiro por tabela. Se um registro contém informação de outra pessoa que não é objeto do pedido, essa parte é omitida.
• Por canal seguro, e apenas para o endereço oficial do órgão requisitante.

Cada solicitação recebida — atendida, recusada ou pendente — é registrada com:

• Data de recebimento, órgão e autoridade requisitante.
• Cópia do ofício ou decisão, e a base legal invocada.
• O que foi decidido, e o raciocínio que levou a atender ou recusar.
• Exatamente quais dados foram entregues, se houve entrega.
• Quem tratou o pedido e a data da resposta.

O registro é mantido pelo prazo legal aplicável e serve tanto para auditoria quanto para responder ao titular, quando permitido.

Quando recebemos um pedido que envolve dados de um estabelecimento ou de um cliente final, nossa posição padrão é avisar a pessoa afetada, para que ela possa exercer os próprios direitos.

Só deixamos de avisar quando existe sigilo determinado por lei ou por decisão judicial. Nesses casos, avisamos assim que o sigilo cair.

Até 10 de setembro de 2026: nenhum. Não recebemos nenhum pedido de autoridade pública, de nenhum órgão, desde o início da operação. Não fornecemos dados pessoais a autoridades em resposta a pedidos de segurança nacional nos últimos 12 meses.

Atualizaremos este número aqui. Se um dia esta seção parar de ser atualizada, entenda como o que é: sinal de que o documento envelheceu, e vale nos cobrar.

Pedidos devem ser enviados para contato@heibarber.com.br, endereçados ao Hei Barber, CNPJ 68.789.468/0001-40, com identificação do órgão, fundamentação legal, delimitação da pessoa e do período, e o canal oficial para resposta.

Acusamos o recebimento em até 5 dias úteis. O prazo de resposta segue o que estiver fixado na própria requisição ou na lei aplicável; quando o prazo for inexequível, pedimos dilação de forma fundamentada em vez de responder pela metade.