Política de Privacidade Global

1. Agentes de Tratamento e Papéis na LGPD

Em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 - "LGPD"), esclarecemos os papéis dos envolvidos:

• RestaurantOS: Atua predominantemente como Controlador dos dados relacionados ao cadastro de usuários na Plataforma, dados de pagamento e telemetria de uso.
• Parceiros Lojistas (Restaurantes): Atuam como Controladores Independentes ou Co-controladores em relação aos dados dos pedidos (nome do cliente, endereço, itens do pedido) necessários para a preparação e entrega física dos produtos.
• Encarregado de Dados (DPO): Nosso DPO pode ser contatado a qualquer momento através do e-mail privacidade@seusaas.com.

2. Dados Pessoais que Coletamos

Coletamos os dados necessários para o fornecimento de um serviço seguro, rápido e eficiente:

A. Dados de Usuários Finais (Consumidores)

• Dados Cadastrais: Nome completo, CPF, e-mail, número de telefone (WhatsApp).
• Dados de Endereço: Endereços de entrega fornecidos (rua, número, complemento, bairro, cidade, CEP, coordenadas de geolocalização).
• Dados Financeiros e de Pagamento: Dados de cartão de crédito (processados de forma tokenizada por gateways de pagamento terceirizados, como Stripe. Nós não armazenamos o número completo do cartão), histórico de transações e estornos.
• Dados de Pedidos: Histórico de compras, restaurantes favoritos, avaliações e comentários.
• Dados de Dispositivo e Navegação: Endereço IP, tipo de navegador, sistema operacional, identificadores de dispositivo, cookies e dados de telemetria.

B. Dados de Parceiros Lojistas e Funcionários

• Dados de Representantes Legais: Nome, CPF, e-mail, telefone, cargo.
• Dados de Acesso: Credenciais de login (e-mail e senhas criptografadas).
• Dados da Empresa: CNPJ, razão social, endereço comercial, dados bancários para repasse.
• Auditoria e Uso: Logs de acesso ao painel Master Admin ou painel do Lojista (Tenant), registro de alterações em configurações e produtos.

3. Finalidades do Tratamento (Por que coletamos?)

O tratamento dos dados é pautado pela minimização e tem as seguintes finalidades estritas:

• Prestação do Serviço de Delivery (Art. 7º, V): Intermediar, processar e entregar os pedidos feitos pelo usuário final aos Parceiros Lojistas.
• Comunicações Transacionais (Art. 7º, V): Envio de recibos, confirmações de pedido, atualizações de status de entrega (via e-mail, push ou WhatsApp) e suporte ao cliente.
• Prevenção à Fraude e Segurança (Art. 11, II, 'g' e Art. 7º, X): Análise de comportamento suspeito, proteção contra chargebacks, verificação de identidade, prevenção a lavagem de dinheiro e bloqueio de usuários infratores.
• Melhoria da Plataforma (Art. 7º, IX): Uso de dados pseudonimizados ou anonimizados para fins de analytics, criação de novos recursos, análise de conversão e telemetria.
• Marketing e Personalização (Art. 7º, I e IX): Envio de promoções, cupons e recomendações baseadas no histórico. (Mediante opt-out disponível a qualquer momento).
• Conformidade Legal (Art. 7º, II): Retenção obrigatória de logs de acesso (Marco Civil da Internet) e dados de faturamento (legislação tributária).

4. Compartilhamento de Dados Pessoais

Nós não vendemos seus dados pessoais. O compartilhamento ocorre estritamente para a operação do negócio:

• Parceiros Lojistas (Restaurantes): Recebem apenas os dados essenciais para preparar e entregar o pedido (Nome, Endereço de Entrega, e temporariamente o Telefone). É terminantemente proibido que os lojistas salvem esses dados em bases próprias ou enviem marketing direto sem o consentimento separado do titular.
• Entregadores Independentes: Quando aplicável, recebem nome, endereço e, em alguns casos, número de telefone com máscara (telefone virtual), para viabilizar a entrega física.
• Prestadores de Serviços (Operadores): Provedores de infraestrutura em nuvem (Google Cloud, Firebase, AWS), gateways de pagamento (Stripe), ferramentas de CRM, disparo de e-mails (Resend) e serviços de prevenção à fraude.
• Autoridades Públicas e Judiciais: Para cumprimento de ordem judicial, investigações criminais e defesa de direitos do RestaurantOS em processos.

Nota sobre Transferência Internacional: A infraestrutura de nuvem pode estar localizada nos Estados Unidos ou Europa. Asseguramos que os fornecedores adotem as Cláusulas Contratuais Padrão e estejam em conformidade com níveis de proteção exigidos pela LGPD.

5. Medidas de Segurança e Proteção

• Criptografia: TLS 1.3 em trânsito e AES-256 em repouso nos bancos de dados (Firebase/GCP).
• Controle de Acesso (RBAC): Acesso estritamente restrito baseado na necessidade de saber (need-to-know). Funcionários do RestaurantOS não têm acesso a dados transacionais puros sem justificativa de suporte auditável.
• Mascaramento de Dados: Emprego contínuo de tecnologias para mascarar números de telefone e endereços completos após o encerramento do pedido.

6. Retenção dos Dados

Os dados pessoais serão armazenados apenas pelo tempo necessário para atingir as finalidades:

• Dados Cadastrais: Enquanto a conta estiver ativa.
• Logs de Acesso: Retenção mínima de 6 meses (Art. 15, Lei 12.965/2014 - Marco Civil da Internet).
• Dados Financeiros e Fiscais: Retenção de 5 anos (Código de Defesa do Consumidor, Art. 27 e legislação tributária).

Ao solicitar a exclusão de conta, procederemos com a eliminação irreversível ou anonimização dos dados, ressalvados os dados necessários para cumprimento de dever legal ou exercício regular de direitos.

7. Direitos dos Titulares (Art. 18, LGPD)

Você possui total controle sobre seus dados. A qualquer momento, você pode:

• Confirmar e Acessar: Obter uma cópia dos dados que mantemos sobre você.
• Corrigir: Atualizar dados incompletos ou desatualizados diretamente no painel.
• Anonimizar, Bloquear ou Eliminar: Solicitar a exclusão de dados desnecessários ou o encerramento da conta.
• Portabilidade: Solicitar seus dados em formato estruturado.
• Revogar o Consentimento: Cancelar a assinatura de newsletters e notificações promocionais.
• Opor-se ao Tratamento: Questionar o uso de dados embasado no legítimo interesse.

Como exercer? Entre em contato através do e-mail privacidade@seusaas.com ou utilize as ferramentas automatizadas na aba "Privacidade" do seu aplicativo/site. O prazo legal para resposta é de até 15 dias corridos.

8. Decisões Automatizadas e Profiling

Podemos utilizar algoritmos e inteligência artificial para detecção de fraudes (ex: bloqueio automático de um cartão com histórico suspeito) ou para recomendações de pratos. Você tem o direito de solicitar a revisão por um ser humano de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.

9. Alterações nesta Política

Esta política poderá ser atualizada periodicamente para refletir mudanças na lei, tecnologias ou em nossos serviços. Notificaremos os usuários ativamente sobre mudanças materiais através do e-mail cadastrado ou banners no aplicativo, com 30 dias de antecedência para entrada em vigor.