Política de Privacidade

1. Quem somos

Zuppy Food é um software como serviço (SaaS) operado por IS Delivery Solutions LTDA, CNPJ 40.527.069/0001-92, com sede na Avenida Santos Dumont, 4487, Shopping Passeio Norte Loja 56, Recreio Ipitanga, Lauro de Freitas/BA, CEP 42.700-170. Esta política descreve como tratamos seus dados pessoais e os dados dos clientes finais que pedem pelo cardápio digital de estabelecimentos cadastrados.

2. Dados que coletamos

2.1. Dono do estabelecimento (você)

• Nome completo, e-mail e senha (cadastro)
• Dados do estabelecimento: nome, slug, descrição, endereço, telefone
• Dados de pagamento processados pelo Stripe (não armazenamos cartões)
• Telemetria de uso do painel (psychology_events): eventos de comportamento no painel — como salvamentos automáticos e navegação — vinculados à sua conta, para melhorar o produto
• Registro de ações sobre integrações de marketplace (iFood, 99Food): quando alguém age sobre uma integração no painel, como conectar, pedir o vínculo, aprovar ou recusar o vínculo, dar ciência, desligar ou trocar a loja vinculada, inclusive tentativas que falharam, guardamos o e-mail, o nome e o papel de quem agiu, o endereço IP, o navegador (user agent), o motivo informado, o horário e identificadores internos de usuário. Vale também para a equipe da Zuppy quando age numa sessão de suporte: o registro vem marcado como ação da equipe e diz qual atendente agiu.
• Histórico da impressora e diagnósticos enviados ao suporte. O histórico guarda as mudanças na impressão (pareamento, conexão do aplicativo, impressora, papel, impressão automática, pedidos parados impressos ou descartados) e quem fez cada uma: o dono, um operador, o aplicativo de impressão, o sistema ou a equipe da Zuppy numa sessão de suporte. O diagnóstico guarda os passos do conserto e o resultado de cada um, as tentativas do dia, os nomes das impressoras do computador, a versão do aplicativo e uma nota opcional. A equipe de suporte da Zuppy pode ler esses dados quando você envia um diagnóstico ou abre uma sessão de suporte. Ficam guardados por 90 dias e depois são apagados.

2.2. Cliente final que faz pedido ou fala com o estabelecimento

• Nome, telefone (obrigatórios) e endereço de entrega
• E-mail e CPF (opcionais, conforme configuração do estabelecimento)
• Histórico de pedidos para o mesmo telefone (CRM do estabelecimento)
• Telemetria de navegação no cardápio público (analytics_events): páginas e itens vistos e ações no carrinho de quem visita o cardápio, mesmo sem finalizar pedido — só com consentimento (veja a seção 9)
• Nome, telefone e itens do carrinho informados no checkout: quando a opção de lembrete está marcada, o carrinho não concluído fica visível ao estabelecimento no painel e pode gerar o lembrete por WhatsApp (veja a seção 3)
• Conteúdo das mensagens trocadas com o estabelecimento pelo WhatsApp, quando ele usa a assistente Isa (atendimento automatizado), e o pedido de não ser atendido pela IA, quando feito

O estabelecimento pode exibir, numa tela dentro do próprio estabelecimento (o painel de pedidos prontos, ligado a uma TV ou tablet do balcão), o número do pedido, o primeiro nome e o bairro de quem está esperando — para chamar o cliente ou avisar o entregador. O estabelecimento pode desligar a exibição do nome nas configurações desse painel. Essa tela nunca mostra telefone, CPF ou endereço completo.

2.3. Quem visita o site da Zuppy

• Origem da visita (atribuição de marketing): os parâmetros de campanha da URL (utm_source, utm_medium, utm_campaign, utm_term, utm_content), o identificador de clique em anúncio do Google (gclid), a página por onde você entrou e o site de onde você veio. Guardamos esses dados na nossa própria base, ligados a um identificador aleatório gerado no seu navegador. Se você se cadastra, eles passam a ficar ligados à conta criada e ao e-mail informado no cadastro, para sabermos de onde vêm os restaurantes que assinam a Zuppy. Os dados que guardamos na nossa própria base não são reenviados ao Google nem a plataformas de anúncio. Quando você escolhe “Aceitar tudo”, os parâmetros de campanha presentes na URL (utm e gclid) acompanham a medição do Google Analytics descrita abaixo.
• Medição de audiência com o Google Analytics 4 — só depois de você escolher “Aceitar tudo” no aviso de cookies: a página visitada (com a URL limpa de identificadores, só os parâmetros de campanha viajam), a origem da visita e eventos de navegação e de conversão (cadastro concluído, início do teste grátis e pagamento da assinatura, com valor e moeda). Não enviamos ao Google nome, e-mail, telefone, CPF ou endereço; o único identificador é o client_id que o próprio Google Analytics gera no seu navegador. Com esse mesmo consentimento, guardamos o client_id na nossa base para ligar uma assinatura à visita que a originou.

O Google Analytics roda apenas no site da Zuppy e no fluxo de cadastro (páginas de início, planos, sobre, políticas, cadastro, retorno do pagamento e primeiros passos da conta). Ele nunca roda nos cardápios dos restaurantes e não coleta nada fora dessas páginas. Enquanto você não escolher “Aceitar tudo”, nenhum script de medição do Google é carregado e nenhum dado é enviado ao Google Analytics (veja a seção 9).

3. Para que usamos seus dados

• Operar o serviço (autenticação, cobrança, processamento de pedidos)
• Enviar e-mails transacionais (confirmação de pedido, falha de pagamento)
• Enviar comunicações sobre o produto e novidades do Zuppy ao responsável pelo estabelecimento, com descadastro a qualquer momento pelo link no rodapé de cada mensagem
• Quando o estabelecimento contrata o plano Pro ou o Avançado: enviar mensagens via WhatsApp ao cliente final sobre o pedido dele, inclusive a quem informou o telefone no checkout e ainda não concluiu o pedido (o lembrete de carrinho descrito abaixo)
• Atendimento automatizado pela assistente Isa no WhatsApp do estabelecimento (responder dúvidas, montar e fechar o pedido) e classificação das mensagens para encaminhar a conversa a um atendente da loja quando preciso. Para isso, o conteúdo da conversa passa pelos provedores de inteligência artificial listados na seção 5. Quem não quiser ser atendido pela IA escreve “parar IA” e passa a ser atendido por uma pessoa; “voltar IA” reativa a assistente
• Lembrete de carrinho abandonado por WhatsApp: se a pessoa informa o telefone no checkout e não conclui o pedido, o estabelecimento pode enviar um lembrete. A opção aparece no checkout, pode vir marcada e pode ser desmarcada antes de concluir; responder PARAR a qualquer momento interrompe os lembretes
• Estruturar e ler o cardápio importado e escrever descrições de produtos e textos de campanhas com inteligência artificial, a pedido do estabelecimento (provedores na seção 5)
• Quando o estabelecimento ativa o Marketing (pixels de anúncio): compartilhar dados de navegação no cardápio com Meta, Google Ads e/ou TikTok — só com o consentimento específico de quem está navegando, revogável a qualquer momento (veja a seção 9)
• Medir de onde vêm as pessoas que conhecem e assinam a Zuppy (atribuição de marketing) e a audiência do nosso site, inclusive ligando uma assinatura à visita que a originou (veja as seções 2.3 e 9)
• Entender como as pessoas usam o produto para melhorá-lo — o que pode incluir gravação de sessão e mapas de calor com o Microsoft Clarity, nas condições da seção 9
• Análise agregada e anônima para melhorar o produto

Não vendemos seus dados nem os dados dos seus clientes para terceiros — o compartilhamento com parceiros de anúncio descrito nas seções 5 e 9 abaixo depende do consentimento específico de quem visita o cardápio e não é uma venda de dados. Os dados de atribuição que guardamos na nossa base (seção 2.3) também não são reenviados a plataformas de anúncio.

4. Base legal (LGPD art. 7)

• Execução de contrato — para operar o SaaS após cadastro
• Cumprimento de obrigação legal — emissão de notas fiscais, retenção fiscal de pagamentos
• Consentimento — telemetria de navegação no cardápio público (quem visita o cardápio pode aceitar ou recusar cookies não essenciais a qualquer momento); medição de audiência do site da Zuppy e do fluxo de cadastro com o Google Analytics 4; gravação de sessão e mapas de calor com o Microsoft Clarity no cardápio público e no checkout. Nada disso é ativado sem “Aceitar tudo” no aviso de cookies
• Legítimo interesse — segurança, prevenção de fraude e melhoria do produto, incluindo a telemetria de uso do painel (psychology_events) da conta do estabelecimento, o uso do Microsoft Clarity no painel do restaurante e a atribuição de marketing descrita na seção 2.3 (parâmetros de campanha, gclid, página de entrada e site de origem)
• Execução de contrato e legítimo interesse: atendimento automatizado pela assistente Isa e classificação das mensagens do WhatsApp, que o estabelecimento contrata para atender os próprios clientes. Quem não quiser pode se opor a qualquer momento escrevendo “parar IA”
• Legítimo interesse: guardar o carrinho não concluído, quando a opção de lembrete está marcada, e enviar o lembrete de carrinho abandonado por WhatsApp, com oposição pela opção desmarcada no checkout ou respondendo PARAR
• Legítimo interesse (art. 7, IX): registrar as ações sobre integrações de marketplace descritas na seção 2.1, para segurança, prova de autoria e disputa com o marketplace. Para o endereço IP com o horário, aplicamos também o art. 15 do Marco Civil da Internet, que manda guardar os registros de acesso por, no mínimo, 6 meses

5. Compartilhamento com terceiros

Para operar o serviço, usamos os seguintes processadores de dados:

• Supabase (banco de dados, autenticação, armazenamento de imagens) — servidores no Brasil (região de São Paulo)
• Stripe (processamento de pagamentos) — dados de cartão tratados exclusivamente pelo Stripe
• Vercel (hospedagem da aplicação) — servidores globais
• Resend (envio de e-mails transacionais e de comunicações sobre o produto)
• Evolution API (integração com WhatsApp, apenas para clientes dos planos Pro e Avançado)
• iFood (widget de chat no Gestor de Pedidos) (botão do iFood no painel do lojista: conversar com o cliente do iFood, receber notificações e acompanhar pedidos do iFood). Só aparece para quem tem uma loja com o iFood conectado e só no Gestor de Pedidos, nunca no cardápio público. Ao abrir o Gestor, o navegador pode se conectar aos servidores do iFood, que recebem o endereço IP e dados do navegador. O código do iFood é carregado no seu navegador e roda dentro do painel, então o iFood pode ver o que o painel mostra e consultar o que o painel consulta. Isso inclui os dados dos pedidos de todos os canais, não só do iFood: nome, telefone e endereço dos clientes e, ao abrir um pedido, o CPF ou CNPJ da nota. O tratamento que o iFood faz desses dados segue a política de privacidade do próprio iFood, e os dados podem ser tratados fora do Brasil (transferência internacional, LGPD art. 33). A autorização é sua, feita no Portal do Parceiro do iFood, por computador, e se perde após 7 dias sem uso. Esconder o botão em Configurações não descarrega o código: ele continua carregado enquanto o painel está aberto
• OpenRouter (gateway de inteligência artificial) e os provedores de modelos que ele intermedeia (por exemplo OpenAI, Anthropic, DeepSeek): geram as respostas da assistente Isa no WhatsApp e o fechamento de pedidos por lá, leem e estruturam o cardápio importado e escrevem descrições de produtos e textos de campanhas. Recebem as mensagens da conversa e, quando o estabelecimento usa a personalização, o nome, o resumo dos pedidos anteriores e o último endereço do cliente, além das fotos do cardápio. O modelo usado em cada tarefa pode mudar entre esses provedores; os dados podem ser tratados fora do Brasil (transferência internacional, LGPD art. 33)
• DeepSeek (classificação das mensagens do WhatsApp, para decidir se a conversa segue com a assistente ou vai para um atendente): modelos DeepSeek, acessados pela OpenRouter, que pode executá-los em provedores de hospedagem; recebem o texto das mensagens; os dados podem ser tratados fora do Brasil (transferência internacional, LGPD art. 33)
• Qwen (busca por significado no cardápio, para a assistente achar o produto que o cliente pediu): modelos Qwen, acessados pela OpenRouter, que pode executá-los em provedores de hospedagem; recebem trechos das mensagens e os textos do cardápio; os dados podem ser tratados fora do Brasil (transferência internacional, LGPD art. 33)
• Anthropic (contingência: assume a leitura do cardápio importado e as respostas da assistente quando o provedor principal falha): recebe o mesmo conteúdo da tarefa; os dados podem ser tratados fora do Brasil (transferência internacional, LGPD art. 33)
• Groq (transcrição das mensagens de áudio recebidas pelo WhatsApp, quando a transcrição está ativa na plataforma; o transcritor pode ser a Groq ou a OpenAI, conforme a configuração da Zuppy): recebe o áudio; os dados podem ser tratados fora do Brasil (transferência internacional, LGPD art. 33)
• Google (Google Analytics 4) (medição de audiência do site da Zuppy e do fluxo de cadastro) — só com o consentimento “Aceitar tudo”; não roda nos cardápios dos restaurantes e não coleta nada fora dessas páginas; os dados podem ser tratados fora do Brasil (transferência internacional, LGPD art. 33)
• Google (Maps/Places) (autocompletar de endereço e mapa) — usado no cadastro do estabelecimento, nas telas de endereço e de área de entrega do painel e no checkout do cardápio. Recebe o endereço que você digita, para sugerir e localizar o ponto no mapa. É o que faz o campo de endereço funcionar, então não depende do aviso de cookies — é diferente do Google Analytics acima, que é medição e só roda com “Aceitar tudo”
• Microsoft (Clarity) (gravação de sessão e mapas de calor, para entender como as pessoas usam o produto) — podemos utilizá-lo no cardápio público e no checkout apenas com o consentimento “Aceitar tudo”, e no painel do restaurante (usuário logado) como telemetria de uso da ferramenta de trabalho, com base em legítimo interesse — nesse caso a gravação não depende do aviso de cookies; não enviamos nome, telefone, e-mail, endereço ou CPF como identificadores, e o Clarity é configurado para mascarar campos com dados pessoais nas gravações; dados podem ser tratados fora do Brasil (transferência internacional, LGPD art. 33)
• Meta (Facebook/Instagram), Google Ads e/ou TikTok (pixels de anúncio) — apenas quando o estabelecimento conecta um pixel de anúncio e a pessoa que visita o cardápio consente especificamente. É um tratamento diferente do Google Analytics 4 acima: aqui quem escolhe conectar o pixel é o estabelecimento, e o consentimento é pedido separadamente (veja a seção 9)

Quando o restaurante recebe um pedido de um marketplace parceiro (99Food), o caminho dos dados também é o inverso: o marketplace nos informa o nome, o telefone e a previsão de chegada do entregador que vai buscar aquele pedido, e o Zuppy mostra isso ao restaurante enquanto a entrega está em andamento — é como o balcão sabe quem vem buscar e quando. A base é o legítimo interesse operacional de realizar a entrega. Nome e telefone do entregador são apagados quando a entrega termina e, de todo modo, no máximo em 24 horas.

No mesmo pedido de marketplace, o parceiro também nos informa os dados do cliente daquele pedido — nome, telefone e endereço de entrega —, e o Zuppy os mostra ao restaurante para que ele prepare e entregue o pedido. A base é o mesmo legítimo interesse operacional, e esses dados seguem a retenção de pedido descrita na seção 7. Duas ressalvas de transparência: o marketplace pode aplicar a política de privacidade dele e nos enviar o dado parcial (por exemplo, só o primeiro nome, ou o endereço sem o número da casa), e a linha de telefone que ele informa pode ser um número de atendimento do próprio marketplace, não o telefone do cliente — quando é esse o caso, o Zuppy diz isso na tela do pedido em vez de tratar o número como contato do cliente.

6. Seus direitos (LGPD art. 18)

A qualquer momento você pode:

• Confirmar quais dados temos sobre você
• Acessar e exportar seus dados
• Corrigir dados incompletos ou desatualizados
• Solicitar a anonimização ou exclusão de dados desnecessários
• Excluir sua conta — a opção está em Configurações → Apagar conta dentro do painel
• Revogar consentimento para cookies não essenciais
• Pedir para não ser atendido pela assistente de IA no WhatsApp: escreva “parar IA” na conversa com o estabelecimento e o atendimento passa a ser feito por uma pessoa; “voltar IA” reativa
• Parar de receber mensagens automáticas do estabelecimento por WhatsApp: responder PARAR ou SAIR interrompe os lembretes de carrinho e as mensagens promocionais; VOLTAR reativa

7. Retenção e exclusão

Quando você solicita a exclusão da conta, marcamos imediatamente sua conta como inativa (cardápio público fica indisponível). Após 30 dias, removemos definitivamente seus dados pessoais e os dos seus clientes do nosso banco. Mantemos apenas registros fiscais legalmente obrigatórios pelo prazo exigido por lei. Se a loja excluída é a responsável pela cobrança de uma conta com outras lojas, a remoção definitiva dela só acontece depois que todas as outras lojas da conta, inclusive arquivadas ou suspensas, também forem removidas; até lá, a loja excluída continua inativa e o cardápio dela, indisponível.

As conversas do WhatsApp com o estabelecimento (mensagens e dados do contato) e os carrinhos não concluídos (nome, telefone e itens) ficam guardados enquanto o estabelecimento for cliente do Zuppy e são removidos junto com os dados dele na remoção definitiva descrita acima. Os registros de cada atendimento da assistente (mensagem recebida, resposta e ações) ficam junto com as conversas, até a remoção definitiva. Os indicadores de decisão (intenção detectada, confiança, custo), sem o texto, são apagados após 90 dias.

O registro de ações sobre integrações de marketplace (seção 2.1) dura enquanto a loja existir na Zuppy e é apagado junto com ela na remoção definitiva, 30 dias depois da exclusão da conta, como descrito acima. Não há prazo separado para anonimizar o endereço IP e o navegador. Um funcionário removido da equipe continua no registro como prova da ação que fez. Pedido de eliminação dessas linhas pode ser recusado, com justificativa, quando a conservação for necessária para cumprir obrigação legal ou regulatória (LGPD, art. 16, I; no caso do endereço IP com horário, art. 15 do Marco Civil da Internet) ou para o exercício regular de direitos da Zuppy em disputa com o marketplace ou com o próprio lojista (LGPD, art. 7, VI). Você pode se opor a esse tratamento (LGPD, art. 18, § 2º); a resposta vem com a justificativa.

Na remoção definitiva da conta, o registro de origem do cadastro ligado a ela (seção 2.3) tem o e-mail, as anotações e os identificadores de atribuição (identificador do navegador, client_id do Google Analytics e gclid) anonimizados; o que sobra serve só para contar de onde vieram os cadastros, sem identificar ninguém.

Os dados de atribuição descritos na seção 2.3 (origem da visita e identificadores de campanha) são mantidos enquanto forem necessários para essa finalidade; você pode pedir a exclusão pelos canais da seção 6. As gravações do Microsoft Clarity seguem o prazo de retenção do próprio Clarity, definido pela Microsoft.

Quando alguém se descadastra das nossas comunicações sobre o produto, guardamos o endereço de e-mail numa lista de supressão pelo tempo necessário para garantir que ele não volte a receber essas mensagens. Os registros de envio de campanhas são anonimizados quando o estabelecimento correspondente é excluído.

8. Segurança

Aplicamos boas práticas de segurança como criptografia em trânsito (HTTPS), controle de acesso por tenant (multi-tenancy isolation via RLS), rate limiting, validação de entrada e auditoria de webhooks. Senhas são armazenadas com hash unidirecional pelo Supabase Auth.

9. Cookies e tecnologias semelhantes

Usamos cookies essenciais (sessão de autenticação, preferências como tema claro/escuro) e, com o seu consentimento, cookies de medição. Ao escolher “Aceitar tudo” no aviso de cookies, o Google Analytics 4 é carregado no site da Zuppy e no fluxo de cadastro e grava os cookies _ga e _ga_* no seu navegador, sob o nosso próprio domínio. Ao escolher “Apenas essenciais” — ou ao fechar o aviso sem escolher — nada disso acontece: o script não é carregado e nenhum dado sai para o Google Analytics. Se você aceitou e mudou de ideia, limpar os cookies e dados do site no navegador revoga o consentimento e a medição volta a ficar desligada. Eventos de conversão de uma assinatura já atribuída a uma visita consentida (início de teste e primeiro pagamento) podem ser enviados pelo nosso servidor mesmo depois de você limpar os cookies; para apagar essa ligação, peça a exclusão pelos canais da seção 6.

A telemetria de navegação no cardápio público (analytics_events) e o Microsoft Clarity no cardápio público e no checkout também só são ativados após o consentimento explícito de quem visita o cardápio, dado no banner de cookies. Esse consentimento pode ser revogado a qualquer momento limpando os cookies e dados do site no navegador.

Quando o estabelecimento conecta um pixel de anúncio (Meta, Google Ads e/ou TikTok), esses pixels pedem um consentimento próprio e adicional, diferente da telemetria interna descrita acima — mesmo que a resposta sobre telemetria já tenha sido dada antes, o banner de consentimento para anúncios aparece separadamente. Quem visita o cardápio pode revogar esse consentimento a qualquer momento pelo menu (ícone de opções) do cardápio público.

10. Contato

Para exercer qualquer direito previsto na LGPD, ou em caso de dúvidas sobre esta política, entre em contato com nosso encarregado de dados (DPO):

• E-mail: privacidade@zuppyfood.com.br
• Resposta em até 15 dias úteis