Política de Privacidade

1. Quem decide sobre os seus dados

A VibeDelivery é uma ferramenta que cada Restaurante usa para vender direto aos seus clientes. Por isso, dependendo do dado, o papel de cada um muda:

• Dados de um pedido feito numa loja (nome, telefone, endereço de entrega, itens) e, quando a loja oferece cashback, o seu saldo, o histórico de créditos e usos e a data de aniversário: o Restaurante dono daquela loja é o controlador. Ele decide como usar esses dados para atender você. A VibeDelivery é operadora: guarda e processa esses dados em nome do Restaurante, só para fazer a loja funcionar.
• Dados de conta na plataforma (cadastro do Restaurante e da sua equipe, conta de Cliente, dados de acesso e segurança): a VibeDelivery é a controladora.

Na prática: dúvidas sobre como um restaurante usa os dados do seu pedido podem ser feitas diretamente a ele. Se preferir, fale com a gente pelo canal da seção 11 e encaminhamos o pedido ao Restaurante responsável.

2. Dados que tratamos

Clientes

• Nome, telefone e, em pedidos para entrega, o endereço.
• Dados do pedido: itens, observações, valores, cupom, cashback usado, forma de pagamento e status.
• Nas lojas que oferecem cashback: o saldo, o histórico de créditos e usos e, se você informar, o dia e o mês do seu aniversário (sem o ano). Esses dados ficam ligados ao seu telefone e àquela loja, e não são compartilhados com outras lojas.
• Se você criar conta: e-mail e senha. A senha é guardada com hash criptográfico, nunca em texto legível.
• No pagamento online: CPF e e-mail, enviados diretamente à Pagar.me para emitir a cobrança. Não guardamos esses dois dados no nosso banco.
• No pagamento com cartão: o número do cartão é enviado do seu navegador direto para a Pagar.me e nunca passa pelos nossos servidores.

Restaurantes e equipe

• Nome, e-mail, telefone e senha dos usuários do painel, e o PIN de acesso ao terminal (também guardado com hash).
• Dados da loja: nome, endereço, cardápio, fotos, horários e configurações.
• Para receber pagamentos online: dados cadastrais e bancários do responsável (como CPF ou CNPJ, data de nascimento e conta bancária), exigidos pela Pagar.me para a verificação de identidade.

Todos

• Dados técnicos de acesso: endereço IP, navegador e data e hora do acesso, usados para manter a sessão e prevenir abuso e fraude.

3. Para que usamos e com qual base legal

• Executar o pedido e o serviço: criar sua conta, levar o pedido ao Restaurante, cobrar pagamentos online, mostrar o acompanhamento do pedido e enviar e-mails de serviço (confirmação de cadastro, redefinição de senha). Base legal: execução de contrato (art. 7º, V).
• Programa de cashback da loja, quando o Restaurante oferece: creditar a parte de cada compra que volta como saldo, guardar o saldo e o histórico e abater o saldo nos pedidos seguintes. A data de aniversário serve apenas para confirmar que é você quando for usar o saldo; ela não é usada para mais nada. Base legal: execução de contrato (art. 7º, V).
• Cumprir obrigações legais, como guardar informações fiscais e contábeis. Base legal: obrigação legal (art. 7º, II).
• Segurança e prevenção a fraude: limitar tentativas de acesso, investigar abuso e corrigir erros técnicos. Base legal: legítimo interesse (art. 7º, IX).
• Defender direitos em processos judiciais, administrativos ou arbitrais. Base legal: exercício regular de direitos (art. 7º, VI).

Não vendemos dados pessoais, não os usamos para publicidade e não enviamos mensagens de marketing a Clientes.

4. Com quem compartilhamos

• O Restaurante da loja onde você pediu recebe os dados necessários para preparar, entregar e cobrar o pedido.
• Pagar.me, processamento de pagamentos online e verificação de identidade de quem recebe.
• Vercel, hospedagem do site e armazenamento das imagens enviadas pelos Restaurantes.
• Neon, banco de dados onde as informações da plataforma ficam guardadas.
• Resend, envio de e-mails de serviço.
• Sentry, registro de erros técnicos para correção.
• Upstash, controle de excesso de tentativas (proteção contra abuso).
• ViaCEP, serviço público de consulta de CEP: ao digitar o CEP no checkout ou no endereço da loja, apenas o CEP é enviado para preencher o endereço.
• Autoridades públicas, quando houver ordem judicial ou obrigação legal.

Esses fornecedores tratam os dados apenas para prestar o serviço contratado por nós e estão sujeitos a obrigações de confidencialidade e segurança.

5. Transferência internacional

Parte desses fornecedores, incluindo o banco de dados e a hospedagem, mantém servidores fora do Brasil, principalmente nos Estados Unidos. Essas transferências são necessárias para prestar o serviço que você contratou ou solicitou (art. 33, IX, da LGPD) e são feitas apenas para fornecedores que adotam padrões reconhecidos de segurança da informação.

6. Cookies e armazenamento no aparelho

Usamos apenas o que é necessário para o site funcionar:

• Cookie de sessão, que mantém você conectado à sua conta.
• Cookie que identifica em qual loja você está navegando.
• Armazenamento local do navegador para o carrinho, para os dados do último checkout (nome, telefone e endereço, para você não precisar digitar de novo), para o acesso aos pedidos feitos numa mesa e para preferências de tela. Essas informações ficam só no seu aparelho e podem ser apagadas limpando os dados do navegador.

Não usamos cookies de rastreamento nem de publicidade. Se isso mudar, esta Política será atualizada antes e, quando a lei exigir, pediremos seu consentimento.

7. Por quanto tempo guardamos

• Conta de Cliente: enquanto existir. Você pode pedir a exclusão a qualquer momento (seção 8).
• Pedidos feitos numa loja: enquanto a assinatura do Restaurante estiver ativa e por mais 12 meses depois do encerramento, para que quem volte reencontre o histórico. Passado esse prazo, anonimizamos automaticamente nome, telefone, endereço de entrega e o vínculo com a conta do cliente nos pedidos daquela loja. Valores, datas e itens continuam guardados sem identificar ninguém, porque são registro contábil.
• Cashback: o saldo, o histórico e a data de aniversário ficam guardados enquanto a assinatura do Restaurante estiver ativa. Cada crédito vence no prazo definido pela loja; o histórico continua mostrando o que venceu. Quando o Restaurante encerra a conta, esses dados são apagados no mesmo prazo de 12 meses da anonimização dos pedidos. A data de aniversário informada num pedido é anonimizada junto com ele.
• Cadastro do Restaurante e da equipe: enquanto a conta existir. O Restaurante pode pedir a exclusão dos dados pessoais da equipe a qualquer momento, ressalvado o que a lei obrigue a guardar.
• Dados fiscais e de pagamento: pelo prazo que a legislação tributária e a de meios de pagamento exigirem.

A anonimização dos pedidos de um Restaurante encerrado não afeta a sua conta de Cliente, que continua valendo nas outras lojas.

8. Seus direitos

Pelo art. 18 da LGPD, você pode pedir: confirmação de que tratamos seus dados; acesso a eles; correção de dados incompletos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei; portabilidade; informação sobre com quem compartilhamos; e eliminação dos dados, quando o tratamento não for obrigatório por lei.

Para exercer esses direitos, escreva para privacidade@vibedelivery.com.br a partir do e-mail cadastrado ou informando o telefone usado nos pedidos, para que possamos confirmar que o pedido é seu. Respondemos em até 15 dias. Quando o pedido tratar de dados que um Restaurante controla, nós o encaminhamos e ajudamos o Restaurante a atendê-lo.

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).

9. Segurança

Todo o tráfego é criptografado (HTTPS). Senhas e PINs são guardados com hash. Dados de cartão não passam pelos nossos servidores. Cada Restaurante só enxerga os dados da própria loja. Nenhum sistema é perfeitamente seguro, mas se ocorrer um incidente que possa causar risco ou dano relevante, comunicaremos a ANPD e as pessoas afetadas, como exige o art. 48 da LGPD.

10. Crianças e adolescentes

A plataforma não é direcionada a menores de 18 anos. Contas de Restaurante devem ser criadas somente por maiores de idade. Se soubermos que tratamos dados de uma criança sem autorização dos responsáveis, os eliminaremos.

11. Encarregado e contato

Encarregado pelo tratamento de dados pessoais: privacidade@vibedelivery.com.br.

Veja também os Termos de Uso para Clientes e os Termos de Uso para Restaurantes.

12. Alterações

Podemos atualizar esta Política. A data no topo mostra a versão em vigor. Mudanças relevantes serão avisadas por e-mail ou no painel antes de valer.