1. Compromisso com a Privacidade e LGPD
No Cardapage, a privacidade e a segurança das informações são pilares fundamentais da nossa arquitetura tecnológica. Esta Política de Privacidade descreve de maneira clara e transparente como tratamos dados pessoais em total conformidade com a Lei Geral de Proteção de Dados (Lei Federal nº 13.709/2018 - LGPD) e com o Marco Civil da Internet (Lei nº 12.965/2014).
Aplicamos o princípio do Privacy by Design and by Default: nossa arquitetura coleta estritamente o volume de dados necessário para a efetivação do pedido e a prestação do serviço hoteleiro ou gastronômico.
2. Papéis no Tratamento (Controlador vs. Operador)
Conforme as definições da LGPD, a atuação do Cardapage se divide em dois papéis distintos:
Cardapage como Controlador
Somos controladores dos dados cadastrais dos estabelecimentos parceiros, administradores, operadores e pessoas de contato comercial e suporte técnico.
Cardapage como Operador
Ao processar pedidos feitos por hóspedes e clientes finais nos QR Codes de mesas, quartos ou cabanas, atuamos como Operador em nome do estabelecimento parceiro (que atua como Controlador primário do serviço de consumo/hospedagem).
3. Quais Dados Coletamos e Por Quê
Distribuímos a coleta de dados de acordo com o perfil de uso na plataforma:
A. Dados de Gestores e Usuários da Equipe (Painel Web)
- Nome completo, e-mail institucional e telefone;
- Razão Social, Nome Fantasia, CNPJ e endereço do estabelecimento;
- Credenciais criptografadas de acesso (senha protegida por hash);
- Dados de cobrança da assinatura SaaS (processados via gateway seguro).
B. Dados de Clientes e Hóspedes (Progressive Profiling no Cardápio)
- Identificação do Ponto: Número do quarto, mesa, cabana ou espreguiçadeira escaneada;
- Dados de Contato: Nome e número de telefone (com DDI/DDD) para envio de status do pedido e confirmação de entrega;
- Documento Opcional (quando exigido pela pousada/hotel): CPF, RG ou Passaporte internacional para conciliação com o PMS hoteleiro;
- Detalhes do Pedido: Itens selecionados, observações de preparo e horário da solicitação.
C. Dados Técnicos de Navegação
- Endereço IP e registros de data/hora de acesso (Art. 15 do Marco Civil);
- Tipo de navegador, idioma preferido e resolução de tela.
4. Hóspedes e Turistas Internacionais
O Cardapage foi desenvolvido para atender estabelecimentos que recebem turistas internacionais. Oferecemos suporte multilíngue (Português, Inglês e Espanhol), suporte a formato internacional de telefonia (E.164) e aceitação de Passaporte ou DNI.
O tratamento de dados de cidadãos estrangeiros (como residentes da União Europeia sob o GDPR) obedece aos mesmos critérios de minimização de dados, finalidade legítima e segurança estabelecidos na LGPD.
5. Bases Legais para o Tratamento
Todo tratamento de dados pessoais no Cardapage está amparado em uma das hipóteses legais previstas no Artigo 7º da LGPD:
- Execução de Contrato ou Procedimentos Preliminares (Art. 7º, V): Para viabilizar a transmissão e entrega dos pedidos solicitados pelo cliente ao estabelecimento e gerenciar a assinatura SaaS;
- Cumprimento de Obrigação Legal ou Regulatória (Art. 7º, II): Guarda de registros de conexão conforme exigido pelo Marco Civil da Internet e emissão de documentos fiscais;
- Legítimo Interesse (Art. 7º, IX): Para prevenção contra fraudes, garantia de estabilidade e aprimoramento da performance do sistema.
6. Compartilhamento de Dados com Terceiros
O Cardapage não comercializa nem monetiza dados pessoais de usuários ou hóspedes. O compartilhamento ocorre única e exclusivamente nas seguintes circunstâncias:
- Com o Estabelecimento Solicitado: Transmissão dos dados do pedido (nome, quarto/mesa, itens) para a tela de KDS da cozinha/bar e PMS do estabelecimento parceiro;
- Provedores de Infraestrutura em Nuvem: Servidores e bancos de dados com altos níveis de segurança física e lógica (como AWS, Vercel e Cloudflare);
- Processadores de Pagamento: Gateways financeiros certificados PCI-DSS para processamento seguro de cobranças;
- Ordem Judicial ou Autoridade Competente: Em estrito cumprimento de lei ou determinação judicial formal.
7. Segurança da Informação e Retenção
Adotamos medidas técnicas e administrativas rigorosas para resguardar os dados pessoais contra acessos não autorizados, perdas ou alterações ilícitas:
- Criptografia de ponta a ponta em trânsito (HTTPS / TLS 1.3);
- Criptografia de dados sensíveis em repouso (AES-256);
- Controle rigoroso de acessos baseados em função (RBAC);
- Logs de auditoria e monitoramento ativo contra ameaças;
- Prazo de Retenção: Dados de sessões de pedidos em mesas/quartos são retidos pelo período necessário para a prestação do serviço e prestação de contas fiscais e operacionais, sendo arquivados ou anonimizados subsequentemente.
8. Seus Direitos como Titular (Art. 18 LGPD)
Em conformidade com o Artigo 18 da LGPD, você possui os seguintes direitos mediante requisição formal:
10. Transferência Internacional de Dados
Nossos serviços de computação em nuvem operam com datacenters no Brasil e no exterior sob cláusulas contratuais de padrão internacional que asseguram níveis de proteção compatíveis com a LGPD e o GDPR.