Política de privacidade

1. Quem somos e quem decide sobre cada dado

O QBROCA é um sistema de cardápio digital e gestão para restaurantes, operado por [razão social, CNPJ e endereço a definir].

• Dados de quem usa o painel (donos e equipe): o QBROCA é o controlador.
• Dados de quem pede no cardápio (clientes do restaurante): o restaurante é o controlador e o QBROCA trata esses dados em nome dele, como operador. Pedidos sobre esses dados devem ser feitos ao restaurante.

2. Dados que tratamos e para quê

• Conta: nome, e-mail e senha (guardada só como hash) para entrar no sistema; verificação em duas etapas para quem a ativa.
• Pedidos de retirada e entrega: nome, telefone, endereço e observações do cliente, para o restaurante preparar e entregar o pedido.
• Assinatura: o pagamento é feito na Stripe. O QBROCA não recebe nem guarda dados de cartão; guarda só o status e o valor das cobranças.
• Segurança: endereço IP e registros técnicos para limitar tentativas de acesso, investigar abusos e manter o serviço no ar, sem conteúdo pessoal nos registros.
• Estatística e anúncios no cardápio: só com o consentimento do visitante (veja a política de cookies). Quando o cliente aceita marketing e o restaurante configurou a Conversions API da Meta, a compra é enviada também pelo servidor, com telefone e nome transformados em código (hash).
• E-mails de novidades: só com consentimento, que pode ser retirado a qualquer momento em Privacidade, no painel.

3. Bases legais (LGPD, art. 7º)

• Execução do contrato: conta, painel, pedidos e assinatura.
• Obrigação legal: registros financeiros e fiscais.
• Legítimo interesse: segurança e prevenção a fraudes.
• Consentimento: cookies de estatística e marketing e e-mails de novidades.

4. Com quem compartilhamos

• Supabase: banco de dados, autenticação e arquivos (hospedagem).
• Stripe: pagamento da assinatura.
• Hostinger: servidor do site, no Brasil.
• Cloudflare: verificação contra robôs (Turnstile).
• [Provedor de e-mail a definir]: envio de e-mails da conta.
• Meta, Google e TikTok: só no cardápio dos restaurantes que os configuraram e só com o consentimento do visitante.

Alguns desses fornecedores tratam dados fora do Brasil, com as garantias previstas no art. 33 da LGPD. Não vendemos dados pessoais.

5. Por quanto tempo guardamos

• Dados de clientes nos pedidos (nome, telefone, endereço e observações): apagados automaticamente depois de 12 meses.
• Registros financeiros (vendas, pagamentos e caixa): 5 anos, sem dados pessoais dos clientes.
• Fila de envio da Conversions API (IP e navegador): até 30 dias.
• Conta: enquanto ela existir; depois do encerramento, o que a lei exigir.

6. Seus direitos (LGPD, art. 18)

Você pode confirmar se tratamos seus dados, acessá-los, corrigi-los, pedir a portabilidade, a anonimização ou a exclusão e revogar consentimentos. O dono do restaurante faz isso em Privacidade, no painel: exportação completa dos dados, exclusão dos dados de um cliente e pedido de encerramento da conta. Clientes de um restaurante devem falar com o próprio restaurante. Também atendemos pelo e-mail [e-mail do encarregado a definir].

7. Segurança

Conexões cifradas, verificação em duas etapas obrigatória para donos, isolamento dos dados de cada restaurante no banco, segredos de integrações cifrados, registros de auditoria e testes de segurança contínuos.

8. Encarregado e contato

Encarregado (DPO): [nome e e-mail a definir].

Mudanças nesta política serão avisadas no painel. Versão 2026-11-05.