Política de Privacidade — pede.me

Esta Política explica quais dados pessoais o pede.me trata, para quê, com quem compartilha, por quanto tempo guarda e quais direitos você tem sobre eles, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD).

1. Quem trata seus dados

O pede.me é operado pela SOFTPROX TECNOLOGIA LTDA, CNPJ 63.643.557/0001-60, foro em Goiânia/GO.

Contato para qualquer assunto de privacidade e proteção de dados: [email protected]

2. Dois papéis diferentes: quando somos controladores e quando somos operadores

Isso importa porque muda quem decide sobre o quê:

• Somos controladores dos dados da sua conta e da sua assinatura (login, dados de cobrança da mensalidade): nós decidimos a finalidade e o modo de tratamento desses dados, porque são necessários para prestar o serviço pede.me a você.
• Somos operadores dos dados que você, dono de restaurante, coleta dos seus clientes finais e entregadores através da plataforma (nome, telefone, endereço de entrega etc.). Nesses casos, você é o controlador: você decide coletar esses dados para atender seu cliente, e nós apenas processamos e armazenamos essa informação seguindo suas instruções, com a segurança descrita nesta Política. Isso significa que você também tem responsabilidades como controlador — ver seção 11.

3. Quais dados coletamos e para quê

3.1. Dados da sua conta (dono do restaurante)

• E-mail e senha (a senha nunca é armazenada em texto puro — usamos hash forte via Supabase Auth). Finalidade: autenticação e acesso ao painel. Base legal: execução de contrato (Art. 7º, V, LGPD).
• Entrar com o Google (opcional, quando disponível). Se você escolher criar a conta ou entrar com a sua conta Google, recebemos do Google o seu nome, o seu e-mail e a foto do perfil. Não recebemos a sua senha do Google, nem acesso ao seu Gmail, aos seus contatos ou aos seus arquivos. Finalidade: autenticação e acesso ao painel. Base legal: execução de contrato (Art. 7º, V, LGPD).

3.2. Dados do seu restaurante e cardápio

• Nome do restaurante, subdomínio, descrição, logo, imagem de capa, telefone/WhatsApp, endereço, cidade, estado, CEP, coordenadas de localização, horário de funcionamento, itens do cardápio. Finalidade: exibir seu cardápio público e operar o restaurante na plataforma. Base legal: execução de contrato.
• Razão social e CNPJ do restaurante (campos opcionais). Finalidade: identificação comercial. Base legal: execução de contrato.

3.3. Dados de recebimento do seu restaurante

• Chave PIX, tipo de chave e nome do titular; credencial de gateway de pagamento próprio (ex. Asaas), quando você conecta um. Esses dados são armazenados cifrados (AES-256-GCM) e usados exclusivamente para exibir sua forma de recebimento ao seu cliente no checkout ou validar confirmações automáticas de pagamento — a Softprox não tem acesso operacional a esse dinheiro. Finalidade: viabilizar o recebimento direto do pedido por você. Base legal: execução de contrato.

3.4. Dados da assinatura (cobrança da mensalidade Pro)

• Nome do responsável pela assinatura e CPF ou CNPJ. Finalidade: emissão da cobrança da mensalidade junto ao gateway de pagamento (Asaas), que exige esse dado para gerar a fatura. Base legal: execução de contrato e cumprimento de obrigação legal/regulatória aplicável à emissão de cobrança e a registros fiscais. Esse dado também é armazenado cifrado.

3.5. Dados do cliente final (de quem faz um pedido no seu restaurante)

• Nome, WhatsApp/telefone, endereço de entrega ou localização marcada no mapa, itens do pedido, forma de pagamento escolhida, comprovante de pagamento (quando o pagamento é confirmado manualmente), mensagens trocadas no chat do pedido com o restaurante, e, após a entrega, uma avaliação opcional (nota e comentário). Finalidade: viabilizar o pedido, a entrega e a comunicação com o restaurante que o cliente escolheu. Tratamos esses dados como operadores, sob instrução do restaurante (controlador desses dados — ver seção 2). Se o restaurante tiver o recurso de fidelidade/cashback ativado, também é tratado o telefone associado ao saldo de crédito acumulado.

3.5.1. Avisos do pedido por WhatsApp

Se o restaurante onde você fez o pedido ativou este recurso, o pede.me envia, de um número próprio, até duas mensagens de WhatsApp sobre o seu pedido: uma confirmando que ele foi recebido e outra avisando que está pronto para retirada ou que saiu para entrega. A mensagem traz o seu primeiro nome, o número do pedido, os itens, o total, a forma de pagamento, o nome do restaurante e, conforme o caso, o endereço do restaurante (retirada) ou o seu endereço de entrega. Ela tem um botão "Falar com a loja", que abre a conversa com o restaurante no seu WhatsApp com um texto já escrito com os dados do pedido. Esse texto é montado pelo pede.me na hora do toque e só chega ao restaurante se você tocar em enviar.

Só recebe essas mensagens quem faz o pedido pelo próprio cardápio, com o aviso exibido na tela do checkout. Usamos o telefone que você informou no pedido, e não o usamos para propaganda.

Finalidade: informar você sobre o andamento do pedido que você mesmo fez. Base legal: execução de contrato (Art. 7º, V, LGPD). O restaurante é o controlador desse tratamento e o pede.me atua como operador.

Para impedir que o recurso seja usado para importunar terceiros, o pede.me, como controlador desta medida de segurança, limita os avisos de recebimento a três por hora para o mesmo telefone na mesma loja e a seis por dia somando todas as lojas, com base no legítimo interesse (Art. 7º, IX, LGPD).

O registro do envio guarda a identificação da loja e do pedido, o tipo do aviso, a situação do envio, o código da mensagem, o código de erro, as datas e uma versão embaralhada do telefone, da qual não é possível ler o número, que continua sendo dado pessoal e que serve para aplicar esse limite e para conferir que os avisos de andamento vão ao mesmo número do aviso de recebimento. Ele não guarda o telefone nem o texto da mensagem, e é apagado após 90 dias.

3.6. Dados de entregadores

• Nome, telefone, PIN de acesso (armazenado com hash, nunca em texto puro), foto de perfil e biografia (opcionais), localização em tempo real durante uma entrega em andamento, e uma avaliação interna de desempenho (visível apenas ao restaurante e ao próprio entregador). Finalidade: organizar a operação de entrega e permitir que o cliente acompanhe o status da sua entrega. A plataforma não realiza verificação de identidade (KYC) do entregador nem processa pagamento a ele — o acerto financeiro é feito diretamente entre restaurante e entregador, por fora da plataforma.

3.7. Dados de segurança

• Usamos o Cloudflare Turnstile, uma verificação automática que roda no cadastro e em outras telas sensíveis para bloquear robôs e tentativas automatizadas de fraude. Essa verificação não usa cookies de rastreamento publicitário. Finalidade: segurança e prevenção a fraude. Base legal: legítimo interesse (Art. 7º, IX, LGPD), restrito à finalidade de segurança.

Não coletamos, de forma deliberada, dados sensíveis na acepção do Art. 11 da LGPD (origem racial ou étnica, convicção religiosa, opinião política, dado de saúde, biometria, vida sexual, etc.).

4. Compartilhamento de dados

Não vendemos dados pessoais. Compartilhamos dados apenas com os fornecedores abaixo, estritamente para viabilizar o funcionamento do pede.me:

Também podemos compartilhar dados quando exigido por lei, ordem judicial ou autoridade competente, ou para proteger direitos, segurança ou propriedade da Softprox, dos usuários ou de terceiros.

5. Transferência internacional de dados

Alguns dos operadores listados na seção 4 podem processar ou armazenar dados em servidores localizados fora do Brasil. Nesses casos, exigimos que o tratamento observe padrões de segurança e privacidade compatíveis com a LGPD, incluindo cláusulas contratuais e demais salvaguardas previstas no Art. 33 da lei.

Os avisos por WhatsApp passam pela Meta, e o login com o Google, quando você escolhe usá-lo, passa pelo Google. As duas empresas podem tratar dados em servidores fora do Brasil, inclusive nos Estados Unidos. Nos dois casos, a transferência é necessária para executar o contrato do qual você é parte ou procedimentos preliminares a pedido seu (Art. 33, IX, combinado com o Art. 7º, V, da LGPD).

6. Retenção e eliminação dos dados

Mantemos cada categoria de dado apenas pelo tempo necessário à finalidade para a qual foi coletado, observado o seguinte:

• Dados de conta e assinatura: enquanto sua conta estiver ativa, e por 90 dias após o encerramento, para permitir reativação e cumprir obrigações fiscais/contábeis (guarda de registros de cobrança pelo prazo legal aplicável, tipicamente 5 anos).
• Dados do restaurante e cardápio: enquanto a conta estiver ativa; eliminados ou anonimizados após o encerramento, salvo dados que precisemos manter por obrigação legal.
• Dados de pedidos (cliente final): mantidos pelo restaurante enquanto necessário à sua operação (histórico de vendas, comprovantes fiscais quando aplicável); conforme a necessidade do restaurante e os prazos fiscais aplicáveis, podendo ser configurado no painel.
• Dados de entregadores: enquanto o vínculo com o restaurante estiver ativo; por um prazo adicional razoável, suficiente para resolver pendências da operação.
• Registros de segurança e antifraude: 6 a 12 meses.

Ao final do prazo aplicável, eliminamos ou anonimizamos o dado, exceto quando a lei exigir guarda por prazo maior (ex. obrigações fiscais) ou o dado for necessário para o exercício regular de direitos em processo judicial, administrativo ou arbitral.

7. Segurança da informação

Adotamos medidas técnicas e organizacionais para proteger seus dados, incluindo:

• cifragem forte (AES-256-GCM) de dados especialmente sensíveis ao negócio, como chave PIX, credencial de gateway de pagamento do restaurante e CPF/CNPJ do responsável pela assinatura;
• hash de senhas de conta e de PIN de entregadores — nunca armazenados em texto puro;
• isolamento de dados entre restaurantes (multi-tenant) por controle de acesso a nível de linha no banco de dados (Row Level Security), de modo que um restaurante não acessa dados de outro;
• controle de acesso restrito à infraestrutura e aos segredos técnicos da plataforma.

Nenhum sistema é 100% livre de risco. Caso ocorra um incidente de segurança que envolva dado pessoal e possa acarretar risco ou dano relevante aos titulares, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados nos prazos e pela forma exigidos pela regulamentação em vigor.

8. Cookies e tecnologias semelhantes

Hoje o pede.me usa apenas cookies e tecnologias estritamente necessárias ao funcionamento do serviço:

• cookie de sessão de autenticação (para manter você logado no painel);
• cookie de sessão do carrinho/pedido do cliente final;
• verificação Cloudflare Turnstile (anti-robô), descrita na seção 3.7.

Não usamos, no momento desta versão, cookies de analytics ou de publicidade (ex. Google Analytics, Meta Pixel). Caso isso mude no futuro, atualizaremos esta Política e passaremos a exibir um aviso de cookies com opção de aceitar, recusar ou gerenciar preferências, antes de qualquer cookie não essencial ser ativado.

9. Seus direitos como titular dos dados

Você pode, a qualquer momento e gratuitamente, solicitar:

1. confirmação de que tratamos seus dados;
2. acesso aos seus dados;
3. correção de dados incompletos, inexatos ou desatualizados;
4. anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
5. portabilidade dos seus dados a outro fornecedor de serviço;
6. eliminação dos dados tratados com base no seu consentimento;
7. informação sobre com quais entidades públicas ou privadas compartilhamos seus dados;
8. informação sobre a possibilidade de não fornecer consentimento e sobre as consequências dessa recusa;
9. revogação do consentimento, quando o tratamento tiver essa base legal.

Para exercer qualquer um desses direitos, entre em contato pelo [email protected]. Respondemos pedidos em formato simplificado de imediato, sempre que possível, e a resposta completa em até 15 (quinze) dias, conforme o Art. 19 da LGPD.

Se você é cliente final ou entregador de um restaurante que usa o pede.me e quer exercer esses direitos sobre os dados do seu pedido, você pode contatar diretamente o restaurante (controlador desses dados) ou nos procurar — vamos te orientar e, quando aplicável, acionar o restaurante em seu nome.

Para deixar de receber avisos do pedido por WhatsApp, escreva para [email protected] informando o telefone e, se possível, o número do pedido. Você também pode bloquear o número no próprio WhatsApp.

10. Menores de idade

O pede.me é destinado a relações entre negócios (restaurantes) e ao público em geral que faz pedidos. Não direcionamos o cadastro de conta de restaurante a menores de 18 anos. Se você é responsável legal por uma criança ou adolescente e acredita que dados dela foram informados indevidamente em um pedido, entre em contato conosco para removê-los.

11. Se você é dono de restaurante: sua responsabilidade como controlador

Ao usar o pede.me para atender seus clientes e organizar seus entregadores, você se torna controlador dos dados pessoais deles perante a LGPD. Isso significa que você deve:

• coletar apenas o dado necessário para atender o pedido ou organizar a entrega;
• ter uma base legal válida para tratar esses dados (em geral, a execução do contrato de compra e venda com o seu cliente, ou de prestação de serviço com o entregador);
• atender, você mesmo, eventuais solicitações desses titulares sobre seus próprios dados, contando com o suporte técnico da plataforma quando necessário;
• não usar os dados de clientes e entregadores para finalidade diferente daquela para a qual foram coletados (ex.: não enviar propaganda não solicitada usando o telefone informado no pedido).

12. Alterações desta Política

Podemos atualizar esta Política para refletir mudanças no serviço ou na legislação. Alterações relevantes serão comunicadas com antecedência razoável, pelo e-mail cadastrado ou por aviso na plataforma, com a data de "última atualização" sempre revisada no topo deste documento.

13. Contato

Dúvidas, solicitações ou reclamações sobre esta Política e sobre o tratamento dos seus dados pessoais: [email protected]

SOFTPROX TECNOLOGIA LTDA — CNPJ 63.643.557/0001-60 — foro em Goiânia/GO