Política de Privacidade

O Appetit trata dados pessoais em duas situações distintas, e a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) atribui responsabilidades diferentes a cada uma.

Somos controladores dos dados de quem contrata o serviço: o restaurante, seus sócios e as pessoas que acessam o painel. Somos nós que decidimos por que e como esses dados são tratados.

Somos operadores dos dados dos consumidores que fazem pedidos pelo cardápio. Quem decide sobre esses dados é o restaurante, que é o controlador deles: nós apenas os armazenamos e processamos por conta dele, para que o pedido chegue e seja atendido. Se você é consumidor e quer excluir ou corrigir seus dados de pedido, o caminho mais direto é falar com o restaurante — e nós o apoiamos no que for necessário.

Controlador dos dados tratados nesta política, quando atuamos nessa condição: preencher: razão social da empresa, CNPJ preencher: CNPJ, preencher: endereço completo da sede.

Quando você cria e usa uma conta, tratamos:

• Cadastro: nome do responsável, e-mail e senha (armazenada apenas como hash, nunca em texto legível).
• Estabelecimento: nome, ramo, WhatsApp, telefone, e-mail e endereço comercial.
• Cobrança: CPF ou CNPJ e o histórico de status da assinatura.
• Segurança: endereço IP e tentativas de cadastro e de login. Nos controles de força bruta, os identificadores são guardados como hash, não em claro.
• Conteúdo que você publica: produtos, descrições, preços e imagens do cardápio — que são públicos por natureza do serviço.

Para que o restaurante consiga preparar e entregar o pedido, o cardápio coleta e nos transmite:

• nome e telefone informados no checkout;
• endereço de entrega, quando o pedido é de delivery;
• os itens do pedido, observações e forma de pagamento escolhida;
• o endereço IP de onde o pedido foi enviado.

O IP é registrado por segurança: ele limita o volume de pedidos automatizados e dá ao restaurante um rastro contra trotes. Não é usado para publicidade nem para traçar perfil de consumo.

Não pedimos dados de cartão em nenhum momento — o pagamento do pedido é acertado diretamente com o restaurante.

• Executar o contrato (art. 7º, V): manter sua conta, publicar o cardápio, entregar os pedidos ao seu WhatsApp e cobrar a assinatura.
• Cumprir obrigação legal (art. 7º, II): guarda de registros fiscais e de conexão exigida pela legislação.
• Legítimo interesse (art. 7º, IX): segurança da plataforma, prevenção a fraude e abuso, e limites contra tentativas automatizadas — sempre no mínimo necessário para esse fim.
• Consentimento (art. 7º, I): apenas para comunicações de marketing, se você optar por recebê-las. A recusa não afeta o uso do serviço, e você pode retirá-lo a qualquer momento.

Não vendemos dados pessoais, não os cedemos para terceiros usarem em proveito próprio e não tomamos decisões automatizadas que afetem seus interesses.

Compartilhamos apenas com fornecedores que executam parte do serviço por nossa conta, sob obrigação contratual de confidencialidade e uso restrito à finalidade:

• Vercel — hospedagem da aplicação (Brasil (região gru1)).
• Neon — banco de dados (Brasil (São Paulo)).
• Cloudinary — armazenamento das imagens do cardápio (Exterior).
• Asaas — cobrança da assinatura (Brasil).

O armazenamento de imagens ocorre no exterior. Nesses casos a transferência internacional se apoia em cláusulas contratuais e garantias equivalentes às da LGPD (art. 33). As imagens do cardápio são, por natureza, conteúdo público.

Também podemos compartilhar dados quando houver ordem judicial ou requisição de autoridade competente.

• Dados da conta e do cardápio: enquanto a assinatura estiver ativa.
• Após o encerramento: até 6 meses para permitir reativação, salvo pedido de exclusão antes disso.
• Registros fiscais e de cobrança: 5 anos, por exigência legal.
• Pedidos e dados de consumidores: pelo prazo definido pelo restaurante controlador, observados os prazos legais.
• Registros de acesso e IP: 6 meses, conforme o Marco Civil da Internet.
• Tokens de redefinição de senha: 1 hora, e são invalidados assim que usados.

A LGPD (art. 18) garante a você o direito de:

• confirmar se tratamos seus dados e acessá-los;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
• solicitar a portabilidade a outro fornecedor;
• revogar consentimento e se opor a tratamentos baseados em legítimo interesse;
• saber com quem compartilhamos seus dados;
• peticionar à Autoridade Nacional de Proteção de Dados (ANPD).

Para exercer qualquer um deles, escreva para preencher: e-mail do encarregado (DPO). Respondemos em até 15 dias. Podemos pedir informações que confirmem sua identidade antes de atender — é uma proteção contra pedidos feitos por terceiros em seu nome.

Se você é consumidor e seus dados chegaram até nós por um pedido, encaminharemos sua solicitação ao restaurante responsável e o auxiliaremos no atendimento.

Adotamos medidas técnicas compatíveis com o risco: tráfego cifrado por HTTPS, senhas armazenadas com hash, isolamento dos dados de cada estabelecimento, sessões com prazo de validade, limites contra tentativas repetidas de login e política de segurança de conteúdo no navegador.

Nenhum sistema é imune. Em caso de incidente com risco relevante aos titulares, comunicaremos os afetados e a ANPD nos termos do art. 48 da LGPD.

Usamos apenas cookies estritamente necessários: os que mantêm sua sessão iniciada no painel e os que protegem o formulário contra uso indevido. Não usamos cookies de publicidade, nem ferramentas de rastreamento de terceiros para perfilamento.

O carrinho do cardápio é guardado no seu próprio navegador e não é enviado a nós até que o pedido seja concluído.

O serviço é destinado a empresas e a maiores de 18 anos. Não coletamos intencionalmente dados de crianças. Se identificarmos um cadastro nessa condição, ele será eliminado.

Podemos atualizar esta política. Mudanças relevantes serão comunicadas pelos canais cadastrados antes de entrarem em vigor, e a data no topo indica a última revisão.

Encarregado pelo tratamento de dados pessoais (DPO): preencher: e-mail do encarregado (DPO).

Outros assuntos: preencher: e-mail de suporte. Veja também nossos Termos de Uso.