Política de Privacidade

1. Quem somos

Zuppy Food é um software como serviço (SaaS) operado por IS Delivery Solutions LTDA, CNPJ 40.527.069/0001-92, com sede na Avenida Santos Dumont, 4487, Shopping Passeio Norte Loja 56, Recreio Ipitanga, Lauro de Freitas/BA, CEP 42.700-170. Esta política descreve como tratamos seus dados pessoais e os dados dos clientes finais que pedem pelo cardápio digital de estabelecimentos cadastrados.

2. Dados que coletamos

2.1. Dono do estabelecimento (você)

• Nome completo, e-mail e senha (cadastro)
• Dados do estabelecimento: nome, slug, descrição, endereço, telefone
• Dados de pagamento processados pelo Stripe (não armazenamos cartões)
• Telemetria de uso do painel (psychology_events): eventos de comportamento no painel — como salvamentos automáticos e navegação — vinculados à sua conta, para melhorar o produto

2.2. Cliente final que faz pedido

• Nome, telefone (obrigatórios) e endereço de entrega
• E-mail e CPF (opcionais, conforme configuração do estabelecimento)
• Histórico de pedidos para o mesmo telefone (CRM do estabelecimento)
• Telemetria de navegação no cardápio público (analytics_events): páginas e itens vistos e ações no carrinho de quem visita o cardápio, mesmo sem finalizar pedido — só com consentimento (veja a seção 9)

3. Para que usamos seus dados

• Operar o serviço (autenticação, cobrança, processamento de pedidos)
• Enviar e-mails transacionais (confirmação de pedido, falha de pagamento)
• Quando o estabelecimento contrata o plano Pro ou o Avançado: enviar mensagens via WhatsApp para o cliente final que fez o pedido
• Quando o estabelecimento ativa o Marketing (pixels de anúncio): compartilhar dados de navegação no cardápio com Meta, Google Ads e/ou TikTok — só com o consentimento específico de quem está navegando, revogável a qualquer momento (veja a seção 9)
• Análise agregada e anônima para melhorar o produto

Não vendemos seus dados nem os dados dos seus clientes para terceiros — o compartilhamento com parceiros de anúncio descrito nas seções 5 e 9 abaixo depende do consentimento específico de quem visita o cardápio e não é uma venda de dados.

4. Base legal (LGPD art. 7)

• Execução de contrato — para operar o SaaS após cadastro
• Cumprimento de obrigação legal — emissão de notas fiscais, retenção fiscal de pagamentos
• Consentimento — telemetria de navegação no cardápio público (quem visita o cardápio pode aceitar ou recusar cookies não essenciais a qualquer momento)
• Legítimo interesse — segurança, prevenção de fraude e melhoria do produto, incluindo a telemetria de uso do painel (psychology_events) da conta do estabelecimento

5. Compartilhamento com terceiros

Para operar o serviço, usamos os seguintes processadores de dados:

• Supabase (banco de dados, autenticação, armazenamento de imagens) — servidores na União Europeia
• Stripe (processamento de pagamentos) — dados de cartão tratados exclusivamente pelo Stripe
• Vercel (hospedagem da aplicação) — servidores globais
• Resend (envio de e-mails transacionais)
• Evolution API (integração com WhatsApp, apenas para clientes dos planos Pro e Avançado)
• Anthropic (análise de cardápio por IA, apenas no momento da importação)
• Meta (Facebook/Instagram), Google Ads e/ou TikTok (pixels de anúncio) — apenas quando o estabelecimento conecta um pixel de anúncio e a pessoa que visita o cardápio consente especificamente

6. Seus direitos (LGPD art. 18)

A qualquer momento você pode:

• Confirmar quais dados temos sobre você
• Acessar e exportar seus dados
• Corrigir dados incompletos ou desatualizados
• Solicitar a anonimização ou exclusão de dados desnecessários
• Excluir sua conta — a opção está em Configurações → Apagar conta dentro do painel
• Revogar consentimento para cookies não essenciais

7. Retenção e exclusão

Quando você solicita a exclusão da conta, marcamos imediatamente sua conta como inativa (cardápio público fica indisponível). Após 30 dias, removemos definitivamente seus dados pessoais e os dos seus clientes do nosso banco. Mantemos apenas registros fiscais legalmente obrigatórios pelo prazo exigido por lei.

8. Segurança

Aplicamos boas práticas de segurança como criptografia em trânsito (HTTPS), controle de acesso por tenant (multi-tenancy isolation via RLS), rate limiting, validação de entrada e auditoria de webhooks. Senhas são armazenadas com hash unidirecional pelo Supabase Auth.

9. Cookies e tecnologias semelhantes

Usamos apenas cookies essenciais (sessão de autenticação, preferências como tema claro/escuro). A telemetria de navegação no cardápio público (analytics_events) só é registrada após o consentimento explícito de quem visita o cardápio, dado no banner de cookies. Esse consentimento pode ser revogado a qualquer momento limpando o storage do navegador.

Quando o estabelecimento conecta um pixel de anúncio (Meta, Google Ads e/ou TikTok), esses pixels pedem um consentimento próprio e adicional, diferente da telemetria interna descrita acima — mesmo que a resposta sobre telemetria já tenha sido dada antes, o banner de consentimento para anúncios aparece separadamente. Quem visita o cardápio pode revogar esse consentimento a qualquer momento pelo menu (ícone de opções) do cardápio público.

10. Contato

Para exercer qualquer direito previsto na LGPD, ou em caso de dúvidas sobre esta política, entre em contato com nosso encarregado de dados (DPO):

• E-mail: privacidade@zuppyfood.com.br
• Resposta em até 15 dias úteis