Política de privacidade

A loja em que você compra é a controladora dos seus dados: é ela quem decide preparar, entregar e cobrar o pedido e quem responde pelo atendimento. A plataforma que hospeda a loja online, a conta e a página de pagamento atua como operadora, tratando os dados em nome da loja e conforme as instruções dela.

Para fazer um pedido: nome, telefone, e-mail (quando informado), endereço de entrega e as escolhas do pedido. Sem esses dados a loja não consegue preparar e entregar.

Para entrar na sua conta: o seu e-mail ou o seu celular, confirmados por um código de uso único enviado a eles; o e-mail e o nome que a sua conta Google nos informa quando você escolhe "Entrar com Google"; ou a senha que você criar na conta. Do Google recebemos apenas o e-mail, a confirmação de que ele é seu e o nome público da conta — não recebemos a senha do Google nem acesso a outros dados. O código enviado ao celular abre a conta ligada a esse número; se ela não for sua (o número pode ter sido de outra pessoa), a própria conta oferece levar o número para uma conta nova, com um código novo, e quem tinha a conta é avisado por e-mail, quando ela tem um e a loja tem envio de e-mail configurado. A conta sem e-mail pode receber o seu, confirmado por um código enviado a ele; a partir daí, ele também abre a conta.

Para pagar com cartão: nome, sobrenome, e-mail e CPF de quem paga. Os dados do cartão em si são digitados diretamente no formulário do provedor de pagamento e nunca passam pelos servidores da plataforma nem ficam guardados nela. Pagar com o cartão digitado aqui pede que você entre pelo e-mail — com o código enviado a ele, com o Google ou com uma senha criada depois de entrar pelo e-mail —, porque o celular sozinho pode estar com outra pessoa. O link de pagamento do Mercado Pago, quando a loja o oferece, não pede essa entrada: o pagamento é feito no site do Mercado Pago, e o que você digita lá fica com ele, sob a política de privacidade dele.

Automaticamente: um cookie de sessão, necessário para manter você conectado, e registros técnicos de acesso (data, hora, endereço IP) usados para segurança e diagnóstico de falhas.

Para medir as etapas da compra: sem identificar você, registramos por quais etapas da compra a visita passou — por exemplo, abriu o cardápio, escolheu o horário, abriu o pagamento — e o dia em que isso aconteceu — e, só na abertura do cardápio, a hora cheia, não o minuto; na madrugada seguinte, nem a ordem de chegada fica no banco (as cópias de segurança guardam a ordem, e o horário de cada gravação, até expirarem). Quando o link de chegada traz, registramos também a origem da campanha, a partir do que a loja escreveu no link; o que tiver arroba, ou dez dígitos ou mais — e-mail, telefone com DDD, CPF —, é descartado. Registramos ainda qual forma de pagamento foi aberta ou usada, quais campos do pedido foram preenchidos e quais ficaram vazios ao sair — o nome do campo, nunca o que foi digitado. A visita é marcada por um identificador aleatório, guardado no navegador e trocado quando a loja é aberta num novo dia; um segundo identificador aleatório reconhece o mesmo navegador entre visitas, para contarmos pessoas distintas e quem voltou a cada loja — ele guarda também o dia em que cada loja foi aberta pela primeira vez —, e expira depois de 90 dias sem visita. Nenhum dos dois é ligado à sua conta nem aos seus pedidos. Fora a campanha, o registro não leva o seu nome, telefone, e-mail, endereço nem o número do pedido.

Preparar, entregar e cobrar os pedidos; identificar você ao entrar na conta e mostrar o seu histórico na loja; guardar os dados de pagador para facilitar a próxima compra; atender você pelos canais da loja; medir em que etapa as compras são abandonadas, para melhorar a loja online; cumprir obrigações fiscais e legais; e prevenir fraudes.

Os dados não são vendidos e não são usados para publicidade de terceiros. Cada loja só enxerga os dados dos próprios clientes.

Apenas com quem precisa deles para o serviço funcionar: os provedores de pagamento escolhidos pela loja, que recebem os dados do pagador para processar e autorizar a cobrança; o serviço de entrega, que recebe nome, telefone e endereço para entregar; os provedores de infraestrutura que hospedam a plataforma e enviam e-mails em nome da loja; e autoridades, quando a lei exigir.

Os dados de pedidos e pagamentos ficam pelo prazo exigido pela legislação fiscal e para defesa em eventuais disputas. Os códigos de acesso expiram em dez minutos e servem para uma entrada só. A sessão na conta dura até trinta dias ou até você sair. Os registros das etapas da compra ficam 90 dias; depois disso restam só os totais por dia — de cada etapa e, em algumas, por campanha, forma de entrar na conta, motivo da recusa do horário, origem do endereço, modo de entrega, tipo de horário, forma de pagamento aberta ou usada, campo preenchido ou que faltou, hora da abertura e se a visita era de quem já tinha vindo —, sem identificador da visita nem da pessoa; o nome da campanha fica como a loja o escreveu no link. Os dados de pagador guardados para a próxima compra só aparecem para quem entrou na conta pelo e-mail, são atualizados a cada compra com cartão e, para serem apagados, basta pedir pelos canais do item 6.

Você pode pedir a confirmação de que tratamos seus dados, o acesso a eles, a correção de dados incompletos ou desatualizados, a exclusão do que não for necessário para cumprir obrigação legal, a portabilidade e a revogação de consentimento. Para exercer qualquer desses direitos, fale com a loja em que você compra pelos canais de atendimento publicados na vitrine dela; a loja aciona a plataforma no que for preciso. A resposta vem no prazo da lei.

Usamos apenas cookies estritamente necessários: o de sessão da sua conta (assinado, acessível só pelo servidor) e, durante o login com Google, um cookie de curta duração que protege o processo contra falsificação. Não usamos cookies de rastreamento de terceiros. A medição das etapas da compra não usa cookie: os identificadores ficam no armazenamento do navegador; para apagá-los, limpe os dados deste site no navegador. O que já foi registrado segue o prazo do item 5. Quando você confirma que uma conta é sua ("Sim, sou eu"), a resposta fica guardada no navegador, para a pergunta não voltar a cada visita; ela não sai do aparelho.

Os dados trafegam criptografados (HTTPS), os códigos de acesso e as senhas são guardados apenas como resumo criptográfico, e o acesso interno é restrito por perfil e registrado. Nenhum sistema é infalível; se for identificado um incidente que afete seus dados, você e a autoridade competente serão comunicados conforme a lei.

Esta política pode ser atualizada. A data no topo indica a versão vigente; mudanças relevantes serão destacadas nas lojas.