Política de Privacidade

1. Controlador dos dados

O controlador responsável pelo tratamento dos seus dados pessoais é a Cardápio Lab, operadora do cardápio digital disponível em cardapiodocabana.vercel.app. O encarregado de proteção de dados (DPO) pode ser contatado pelo e-mail mktautomatic@gmail.com. Respondemos em até 15 dias úteis.

2. Dados coletados

Ao usar nosso cardápio digital, coletamos:

• Nome completo — identificação do pedido e do cliente.
• Número de WhatsApp — comunicação sobre o status do pedido e suporte.
• Endereço de entrega (rua, número, bairro, cidade, CEP) — somente para pedidos com entrega em domicílio.
• Itens do pedido e valor total — processamento, registro fiscal e histórico.
• Observações e restrições alimentares — instruções especiais que você nos fornecer ao fazer o pedido.
• Origem do acesso (UTM source/medium) — canal pelo qual você chegou ao cardápio (ex.: WhatsApp, Instagram, link direto).
• Dados de cookies — conforme suas escolhas de consentimento (seção 8).
• Histórico de pedidos — para programa de fidelidade e comunicações personalizadas (somente com consentimento).

Não coletamos dados de cartão de crédito. Pagamentos presenciais ou via PIX são processados diretamente na loja.

3. Base legal do tratamento

4. Finalidades do tratamento

• Processar, confirmar, preparar e entregar seu pedido.
• Comunicar atualizações de status via WhatsApp (ex.: "Pedido em preparo", "Saiu para entrega").
• Manter histórico para consulta e repetição de pedidos anteriores.
• Gerenciar programa de fidelidade e pontos acumulados.
• Enviar promoções e novidades somente com seu consentimento expresso.
• Analisar padrões de uso para aprimorar o cardápio digital (dados agregados).
• Cumprir obrigações legais e fiscais.

5. Compartilhamento de dados

Não vendemos, alugamos nem comercializamos seus dados pessoais. Podemos compartilhar informações com:

• Supabase (infraestrutura) — banco de dados hospedado em servidores na região de São Paulo (sa-east-1). Contrato de processamento de dados em vigor.
• Vercel (hospedagem) — plataforma de deploy da aplicação. Servidores edge globais com adequação GDPR/LGPD.
• Google Analytics (analíticos) — somente se você consentir com cookies analíticos. Dados anonimizados.
• Parceiros de entrega — nome e endereço compartilhados somente quando necessário para realizar a entrega.
• Autoridades competentes — quando exigido por lei ou ordem judicial.

6. Direitos do titular (LGPD — Art. 18)

Você tem direito a:

Para exercer qualquer direito, envie um e-mail para mktautomatic@gmail.com com o assunto "Direitos LGPD". Responderemos em até 15 dias úteis.

7. Retenção de dados

• Dados fiscais e de pedidos — 5 anos (Código Tributário Nacional, Art. 173).
• Dados pessoais (nome, telefone, endereço) — 2 anos após o último pedido, salvo obrigação legal.
• Dados de cookies analíticos — até 14 meses (configuração padrão GA4).
• Consentimentos registrados — pelo tempo necessário para comprovar conformidade legal.

Após os prazos, os dados são anonimizados ou excluídos de forma segura e irreversível.

8. Cookies

Utilizamos três categorias de cookies. Consulte nossa Política de Cookies para descrição detalhada. Você pode gerenciar suas preferências a qualquer momento pelo banner de cookies ou acessando /cookies.

9. Segurança

Adotamos medidas técnicas e organizacionais para proteger seus dados:

• Transmissão criptografada via HTTPS/TLS em todo o site.
• Banco de dados com Row Level Security (RLS) — isolamento por loja.
• Acesso ao painel administrativo protegido por autenticação e controle de perfis.
• Monitoramento contínuo de acessos e logs de atividade.

Em caso de incidente de segurança que possa afetar seus dados, notificaremos as autoridades competentes e os titulares afetados dentro dos prazos legais.

10. Transferência internacional

Alguns dados podem ser processados fora do Brasil (ex.: Vercel CDN, Google Analytics). Nesses casos, garantimos que os destinatários oferecem nível adequado de proteção, conforme Art. 33 da LGPD, por meio de contratos de processamento de dados e certificações internacionais (GDPR, SOC 2).

11. Contato — Encarregado (DPO)

12. Alterações nesta política

Esta política pode ser atualizada periodicamente para refletir mudanças em nossas práticas ou exigências legais. Alterações relevantes serão comunicadas via banner no cardápio digital. A data de "última atualização" no topo indica a versão vigente.