Política de Privacidade
Esta Política explica, em linguagem clara, como a Cardaply coleta, utiliza, compartilha, armazena e protege dados pessoais em seus sites, cadastros, painéis, cardápios digitais, pedidos, entregas, atendimento pelo WhatsApp e integrações.
Última atualização: 27 de setembro de 20261. Quem somos e qual é o papel da Cardaply
A Cardaply é uma plataforma tecnológica para restaurantes, operações de delivery e atendimento em mesas, disponibilizada no domínio cardaply.com.br e em ambientes relacionados.
A definição de quem decide sobre o tratamento depende do contexto:
- Cardaply como controladora: decide sobre o tratamento de dados de seus clientes, usuários dos painéis, visitantes, interessados, contatos comerciais, pré-cadastros, cobrança, segurança e suporte da própria plataforma.
- Cardaply como operadora: trata dados de consumidores, pedidos e atendimentos em nome do restaurante cliente e conforme suas instruções. Nessa situação, o restaurante é, em regra, o controlador.
- Fornecedores e integrações: alguns parceiros podem atuar como operadores, suboperadores ou controladores independentes, conforme o serviço e seus próprios termos.
O canal de privacidade da Cardaply é contato@cardaply.com.br. Os dados cadastrais completos da pessoa jurídica responsável podem ser solicitados por esse canal quando necessários ao exercício de direitos ou a uma relação contratual.
2. A quem e a quais serviços esta Política se aplica
Esta Política se aplica a visitantes dos sites da Cardaply, interessados e leads, responsáveis e equipes de estabelecimentos, consumidores que utilizam cardápios e pedidos, entregadores, usuários de atendimento e demais pessoas cujos dados sejam tratados pela plataforma.
Ela abrange os sites institucionais, formulários e pré-cadastros, Painel Master, painel administrativo, cardápios digitais, pedidos em delivery ou mesa, aplicativos e recursos de entrega, notificações, integrações de pagamento e logística, WhatsApp e recursos de inteligência artificial.
Sites e serviços de terceiros possuem políticas próprias. Antes de utilizar uma integração, consulte também os termos e avisos do respectivo fornecedor.
3. Quais dados podemos tratar
Tratamos dados diferentes conforme os recursos utilizados:
- Cadastro e identificação: nome, e-mail, telefone, CPF ou CNPJ, nome do estabelecimento, cidade, segmento, vínculo e função no estabelecimento.
- Conta e autenticação: identificadores de usuário, credenciais protegidas pelo provedor de autenticação, permissões, sessões, confirmações de e-mail e registros de acesso.
- Contatos comerciais e suporte: mensagens, respostas, preferências, etapa do atendimento, histórico de solicitações e metadados do canal utilizado.
- Pedidos e mesas: nome do consumidor, telefone, itens, quantidades, observações, valores, endereço, número de mesa, status do pedido e informações necessárias à entrega ou retirada.
- Pagamentos e cobrança: método, situação, identificadores da transação, faturas e informações de conciliação. Dados completos de cartão são tratados pelo provedor de pagamento e não precisam ser recebidos pela Cardaply.
- Localização e logística: endereço, coordenadas, distância, rota, localização do entregador e eventos de entrega quando o recurso estiver habilitado e permitido.
- WhatsApp e atendimento: número, nome de perfil disponível, mensagens, anexos, horários, identificadores técnicos, estado da conversa e intervenções humanas.
- Dados técnicos e de segurança: endereço IP quando registrado pela infraestrutura, navegador, dispositivo, sistema operacional, data e hora, logs, falhas, eventos de segurança e identificadores de notificação.
- Cookies e medição: preferências de consentimento, identificadores do navegador e eventos de navegação ou conversão, conforme descrito na seção 13.
Evite inserir em campos livres, observações ou conversas dados pessoais excessivos, senhas, números completos de cartão, informações de saúde ou outros dados sensíveis que não sejam estritamente necessários.
4. Como recebemos os dados
- diretamente do titular, ao navegar, cadastrar-se, conversar, pedir, solicitar suporte ou usar os painéis;
- do restaurante ou empresa cliente, quando cadastra sua equipe, recebe um pedido ou habilita uma integração;
- de integrações escolhidas pelo usuário ou estabelecimento, como pagamento, WhatsApp, mapas e logística;
- automaticamente, por registros técnicos essenciais e, quando houver consentimento, ferramentas de análise ou publicidade;
- de fontes legitimamente acessíveis ou indicações comerciais, respeitados a finalidade, a expectativa do titular e seus direitos.
5. Para que usamos os dados e quais são as bases legais
| Finalidade | Exemplos de bases legais aplicáveis |
|---|---|
| Criar contas, validar identidade, administrar estabelecimentos e prestar os recursos contratados. | Execução de contrato e procedimentos preliminares relacionados ao contrato. |
| Disponibilizar cardápios, carrinhos, pedidos, pagamentos, mesas, entrega, suporte e comunicações operacionais. | Execução de contrato; legítimo interesse; cumprimento de obrigação legal, conforme o contexto. |
| Responder interessados, qualificar contatos e realizar pré-cadastro comercial solicitado pelo próprio titular. | Procedimentos preliminares ao contrato; legítimo interesse; consentimento, quando necessário. |
| Enviar ofertas ou comunicações de marketing não essenciais. | Consentimento ou legítimo interesse, com avaliação do contexto e opção simples de oposição ou descadastro. |
| Prevenir fraude, abuso, duplicidade indevida de benefício, acessos não autorizados e incidentes. | Legítimo interesse; proteção do crédito; exercício regular de direitos; cumprimento de obrigação legal. |
| Cumprir obrigações fiscais, contábeis, regulatórias e determinações de autoridades. | Cumprimento de obrigação legal ou regulatória e exercício regular de direitos. |
| Medir e melhorar o serviço, gerar relatórios e corrigir falhas. | Legítimo interesse, com minimização ou anonimização quando possível; consentimento para cookies não essenciais. |
Quando o tratamento depender de consentimento, ele poderá ser revogado a qualquer momento, sem afetar a legalidade do tratamento anterior. A revogação poderá limitar recursos que dependam daquele dado ou autorização.
6. Atendimento comercial da Cardaply por WhatsApp e pré-cadastro
A Cardaply pode manter um canal próprio de atendimento comercial no WhatsApp, com automação e inteligência artificial. Nesse canal, a Cardaply atua como controladora e pode tratar nome, telefone, nome do estabelecimento, cidade, segmento, e-mail, CPF ou CNPJ, mensagens e etapa do funil para:
- responder dúvidas sobre a Cardaply, preços, período gratuito e funcionalidades;
- entender o perfil e o interesse do contato;
- gerar um pré-cadastro quando o titular solicitar e confirmar expressamente as condições apresentadas;
- enviar o link de confirmação do e-mail e acompanhar a conversão;
- identificar clientes já cadastrados, evitar duplicidades e prevenir uso indevido de benefícios;
- encaminhar a conversa a uma pessoa quando solicitado ou quando a automação não puder responder com segurança.
O CPF ou CNPJ informado para o pré-cadastro é ocultado no histórico textual da conversa. Quando necessário, o documento pode ser armazenado nos registros de cadastro e uma representação não reversível pode ser mantida para validações de identidade, segurança e prevenção de repetição indevida do período gratuito. O documento completo não deve ser repetido pela automação em mensagens.
O pré-cadastro não cria automaticamente uma conta ativa. A criação depende da confirmação do e-mail e da definição de senha pelo titular. O link de confirmação possui prazo de validade informado no fluxo, atualmente de até 24 horas.
O titular pode pedir atendimento humano ou informar que não deseja continuar. Pedidos de interrupção de mensagens comerciais serão registrados e respeitados, ressalvadas comunicações necessárias a uma relação contratual ou obrigação legal.
7. WhatsApp e inteligência artificial dos restaurantes
Quando um restaurante conecta sua conta do WhatsApp Business à Cardaply, mensagens e dados de atendimento podem ser recebidos e processados para executar as funções autorizadas. Nessa situação, o restaurante é, em regra, o controlador, e a Cardaply atua como operadora.
Se recursos de inteligência artificial forem habilitados, trechos da conversa e o contexto necessário — por exemplo, cardápio, disponibilidade, regras de entrega e estado do pedido — podem ser enviados ao provedor de IA para interpretar pedidos, gerar respostas ou apoiar o atendimento. Buscamos limitar o conteúdo ao necessário e aplicar regras do sistema para ações sensíveis.
Respostas de IA podem conter erros. Preços, estoque, pagamentos, criação e alteração de pedidos, disponibilidade e outras ações devem respeitar as regras e validações da plataforma. O usuário pode solicitar atendimento humano quando o canal disponibilizar essa opção.
A Cardaply não utiliza conversas de clientes para desenvolver um modelo público próprio. Os provedores envolvidos tratam os dados conforme os contratos, configurações e políticas aplicáveis ao serviço utilizado.
8. Com quem os dados podem ser compartilhados
Compartilhamos apenas o necessário para as finalidades descritas nesta Política. Conforme os módulos habilitados, as categorias e exemplos de destinatários podem incluir:
- Infraestrutura, banco de dados, autenticação e armazenamento: Supabase e Vercel.
- E-mail transacional: provedores de envio usados para confirmações, avisos e recuperação de acesso.
- Pagamento: Mercado Pago e outros provedores que venham a ser escolhidos e informados.
- Comunicação: Meta e WhatsApp Business, quando a integração estiver conectada.
- Inteligência artificial: OpenAI ou outro provedor configurado para o recurso, limitado ao contexto necessário.
- Mapas, localização e logística: serviços de mapas e parceiros de entrega, como VOA Delivery ou Foody Delivery, somente quando habilitados.
- Análise e publicidade: Google Analytics 4 e Meta Pixel, apenas nas superfícies indicadas e após o consentimento exigido.
- Autoridades e assessores: quando houver obrigação legal, ordem válida, investigação de fraude, defesa de direitos ou incidente.
- Operações societárias: em eventual reorganização, fusão, aquisição ou transferência de ativos, com salvaguardas e informação compatíveis com a legislação.
Os fornecedores são avaliados conforme a natureza do serviço e devem tratar os dados para finalidades compatíveis. A Cardaply não vende nem comercializa listas de dados pessoais.
9. Transferências internacionais
Alguns fornecedores podem armazenar ou processar dados fora do Brasil ou utilizar equipes e infraestrutura internacionais. Quando houver transferência internacional, a Cardaply buscará utilizar mecanismos admitidos pela LGPD e pela regulamentação da Autoridade Nacional de Proteção de Dados, como cláusulas contratuais, garantias adequadas, normas corporativas, decisões de adequação ou outra hipótese legal aplicável.
Também avaliamos a necessidade do compartilhamento, a finalidade, a categoria de dados e as medidas de segurança do fornecedor. Informações adicionais sobre fornecedores relevantes podem ser solicitadas pelo canal de privacidade.
10. Por quanto tempo mantemos os dados
Os dados são mantidos somente enquanto necessários à finalidade informada, à prestação do serviço, ao cumprimento de obrigações, à segurança, à prevenção de fraude ou ao exercício de direitos. Os prazos podem variar conforme o dado e o contexto:
| Categoria | Critério de retenção |
|---|---|
| Pré-cadastro pendente | Até a confirmação, expiração ou cancelamento, observados os registros mínimos de segurança. O link de confirmação atualmente expira em até 24 horas. |
| Conta, contrato e cobrança | Durante a relação e, depois, pelos prazos necessários ao cumprimento de obrigações e à defesa de direitos. As condições comerciais atuais preveem remoção de dados operacionais após 90 dias de inadimplência, ressalvados dados que devam ser preservados. |
| Pedidos e dados fiscais ou financeiros | Pelo período necessário à operação e pelos prazos legais, regulatórios e de exercício de direitos aplicáveis. |
| Conversas e suporte | Enquanto necessários ao atendimento, à qualidade, à segurança e à defesa de direitos, com acesso restrito e eliminação ou anonimização quando a finalidade se encerrar. |
| Logs e registros de segurança | Pelo período compatível com prevenção, investigação de incidentes, auditoria e obrigações aplicáveis. |
| Cookies não essenciais | Conforme a validade indicada no gerenciador ou até a retirada do consentimento e limpeza pelo navegador. |
Após o encerramento da finalidade, os dados são eliminados, anonimizados ou mantidos de forma restrita quando houver fundamento legal. Cópias de segurança podem permanecer durante o ciclo técnico normal e são substituídas progressivamente.
Solicitação de acesso ou exclusão
Para solicitar acesso, correção, informações ou exclusão de dados sob responsabilidade direta da Cardaply, escreva para contato@cardaply.com.br.
Se a solicitação envolver um pedido feito em um restaurante específico, poderemos encaminhá-la ou orientar o contato com o estabelecimento controlador. A eliminação pode não abranger dados cuja conservação seja autorizada ou exigida por lei.
11. Segurança e resposta a incidentes
A Cardaply adota medidas técnicas e administrativas proporcionais aos riscos, incluindo autenticação e autorização, separação de acesso entre estabelecimentos, políticas de segurança no banco de dados, proteção de credenciais, conexões seguras, registros de eventos e restrição de acesso administrativo.
Nenhum sistema é completamente imune. Em caso de incidente de segurança, a Cardaply buscará conter e investigar o evento, reduzir seus efeitos, preservar evidências e comunicar os controladores envolvidos, titulares e a Autoridade Nacional de Proteção de Dados quando exigido pela legislação e pela regulamentação aplicáveis.
Suspeitas de vulnerabilidade, acesso indevido ou uso abusivo podem ser enviadas para contato@cardaply.com.br.
12. Direitos dos titulares
Nos termos da LGPD e conforme o caso, o titular pode solicitar:
- confirmação da existência de tratamento e acesso aos dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade;
- portabilidade, observada a regulamentação e os segredos comercial e industrial;
- informação sobre compartilhamentos e sobre a possibilidade de negar ou revogar consentimento;
- eliminação de dados tratados com consentimento, quando aplicável;
- oposição a tratamento irregular baseado em outra hipótese legal;
- revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses e informações sobre os critérios utilizados, respeitados os segredos comercial e industrial;
- peticionar perante a Autoridade Nacional de Proteção de Dados ou órgãos de defesa do consumidor.
Para exercer direitos sobre dados controlados pela Cardaply, envie a solicitação para contato@cardaply.com.br. Podemos pedir informações razoáveis para confirmar a identidade e impedir acesso indevido. Responderemos nos prazos aplicáveis e explicaremos eventual impossibilidade de atendimento.
14. Dados sensíveis e dados de crianças ou adolescentes
A Cardaply não solicita intencionalmente dados pessoais sensíveis para o uso comum da plataforma. Se uma informação dessa natureza for excepcionalmente necessária, o tratamento deverá ter finalidade específica, acesso restrito e base legal adequada.
Os serviços comerciais, painéis de gestão e criação de conta são destinados a pessoas com capacidade para contratar. A plataforma não é direcionada à coleta intencional de dados de crianças. Restaurantes que tratem dados de crianças ou adolescentes em seus próprios pedidos devem observar o melhor interesse e as exigências legais aplicáveis.
Se você acreditar que dados de criança ou adolescente foram fornecidos indevidamente à Cardaply, entre em contato para avaliação e adoção das medidas cabíveis.
15. Alterações desta Política e contato
Esta Política pode ser atualizada para refletir mudanças na plataforma, nas integrações, nos fornecedores ou na legislação. A versão vigente ficará nesta página com a data de atualização. Quando uma mudança for relevante, poderemos também comunicar pelos canais disponíveis.
Canal de privacidade
Dúvidas, solicitações e exercício de direitos relacionados à proteção de dados podem ser encaminhados para:
Para agilizar, informe seu nome, o estabelecimento ou pedido relacionado (se houver), o direito que deseja exercer e um meio seguro para retorno. Não envie senhas ou dados completos de cartão.