1Identificação dos Controladores e Papéis no Ecossistema
O TáPedido opera sob o modelo de plataforma de tecnologia e intermediação (SaaS B2B2C):
- TáPedido Tecnologia: Atua como Controladora em relação aos dados de cadastro de lojistas parceiros, contas de clientes na rede universal e dados de navegação técnica da plataforma, e como Operadora no processamento de pedidos dos estabelecimentos parceiros.
- Restaurantes e Estabelecimentos Parceiros: Atuam como Controladores Independentes dos dados cadastrais e de entrega necessários para a produção culinária e despacho de pedidos.
2Encarregado pelo Tratamento de Dados Pessoais (DPO)
Em atendimento ao artigo 41 da Lei nº 13.709/2018, disponibilizamos canal direto de comunicação para que os titulares possam esclarecer dúvidas, solicitar providências ou reportar incidentes de privacidade:
3Dados Pessoais Coletados e Finalidades
| Categoria | Dados Tratados | Finalidade Específica | Base Legal (LGPD) |
|---|---|---|---|
| Cadastro do Consumidor | Nome, telefone celular (E.164), e-mail e endereços salvos. | Autenticação sem fricção, roteamento de pedidos e confirmação no WhatsApp. | Execução de Contrato (Art. 7º, V) |
| Pedidos e Faturamento | Itens pedidos, valores, troco, endereço de entrega e histórico. | Entrega pelo motoboy, emissão fiscal e escrituração contábil legal. | Obrigação Legal (Art. 7º, II c/c CTN 173) |
| Lojistas Parceiros | Nome do responsável, e-mail comercial, chave PIX e endereço da loja. | Gestão do cardápio, painel de pedidos KDS e suporte operacional. | Execução de Contrato (Art. 7º, V) |
| Notificações Web Push | Endpoint de notificação do navegador e credenciais de push (p256dh). | Envio de atualizações em tempo real do status do pedido (saiu para entrega). | Consentimento Expresso (Art. 7º, I) |
| Cookies & Métricas | Identificador anônimo de dispositivo e métricas de desempenho. | Melhoria contínua da velocidade e estabilidade do cardápio digital. | Consentimento Granular (Art. 7º, I) |
* O TáPedido não coleta dados pessoais sensíveis (Art. 11), como dados de saúde, raça, biometria facial ou filiação política.
4Subprocessadores e Transferência Internacional de Dados (Art. 33)
Para assegurar a máxima disponibilidade e escalabilidade com latência reduzida, o TáPedido utiliza infraestrutura em nuvem de ponta com servidores localizados no Brasil e no exterior (EUA):
- Convex Inc. (EUA / AWS us-east-1): Banco de dados reativo, autenticação criptográfica e backend serverless com criptografia de ponta a ponta.
- Vercel Inc. (EUA / Global Edge): Hospedagem da aplicação web Next.js e CDN de alta performance.
- Resend Inc. (EUA): Provedor seguro para envio de e-mails transacionais de verificação de conta e recuperação de acesso.
- ViaCEP (Brasil): Consulta pública de códigos de endereçamento postal para facilitação do endereço de entrega.
Todas as transferências internacionais de dados atendem rigorosamente ao artigo 33 da LGPD, amparadas por cláusulas-padrão contratuais (Standard Contractual Clauses - SCCs) e acordos de processamento de dados (DPA) firmados com os respectivos subprocessadores.
5Prazos de Retenção e Guarda Fiscal Obrigatória (Art. 16, I)
Os dados pessoais são retidos apenas pelo tempo necessário para cumprir as finalidades para as quais foram coletados:
- Dados Cadastrais de Perfil: Retidos enquanto o titular mantiver sua conta ativa ou até a solicitação formal de exclusão.
- Dados de Pedidos, Comprovantes e Faturamento: Conservados pelo prazo imperativo de 5 (cinco) anos após a realização da transação, em cumprimento estrito ao artigo 173 do Código Tributário Nacional (CTN) e artigo 27 do Código de Defesa do Consumidor (CDC), com fundamento no artigo 16, inciso I da LGPD.
- Em caso de solicitação de exclusão: Os dados cadastrais de perfil são permanentemente eliminados, enquanto os registros históricos de pedidos são irreversivelmente anonimizados (descaracterizados), eliminando qualquer vínculo com o nome, telefone ou residência do titular.
6Direitos dos Titulares de Dados (Art. 18 da LGPD)
Você, como titular de dados pessoais, possui os seguintes direitos garantidos por lei, exercíveis diretamente através do painel de autoatendimento acima ou pelo e-mail do DPO:
Confirmar a existência de tratamento e consultar os dados tratados.
Baixar uma cópia estruturada dos seus dados em formato JSON interoperável.
Atualizar dados incompletos, inexatos ou desatualizados no checkout.
Solicitar a anonimização e exclusão da conta, respeitada a guarda fiscal.
Alterar suas escolhas sobre cookies e notificações a qualquer instante de forma descomplicada.
7Segurança da Informação e Privacy by Design (Art. 46)
Adotamos salvaguardas técnicas e administrativas rigorosas para proteger os dados contra vazamentos, acessos não autorizados e modificações indevidas:
- Criptografia Forte de Senhas: Senhas nunca são armazenadas em texto simples; utilizamos PBKDF2 com derivação de chave SHA-256 e salts criptográficos aleatórios individuais de 100.000 iterações.
- Tráfego Seguro: Todas as conexões utilizam HTTPS/TLS 1.3 de ponta a ponta.
- Isolamento Multi-Tenant: Regras no banco de dados garantem que um estabelecimento jamais tenha acesso aos dados, faturamento ou clientes de outro restaurante.
- Zero PII em Logs: Não registramos dados de cartão, CPF ou endereços em logs operacionais ou telemetria.
8Legislação e Foro
Esta Política de Privacidade é regida e interpretada em conformidade com a legislação da República Federativa do Brasil, em especial a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) e o Marco Civil da Internet (Lei nº 12.965/2014). Fica eleito o foro do domicílio do titular de dados para dirimir quaisquer controvérsias decorrentes deste documento.