Política de Privacidade

1. Quem trata os seus dados

Esta política explica como o Lhama trata dados pessoais no aplicativo Android, no painel e no site lhamaapp.com.

O controlador é Gustavo da Silva Souza, pessoa física, e-mail [email protected].

Ela segue a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais) e o Marco Civil da Internet, e é parte integrante dos Termos de Uso.

2. Dois papéis: quando somos controlador e quando somos operador

O Lhama trata dados em duas posições diferentes, e a diferença muda a quem você pede o quê.

• Somos controlador dos dados da relação entre nós e a loja: o cadastro, o login, a assinatura, o suporte, e os dados de quem deixa contato no site. Aqui somos nós que decidimos as finalidades, e é a nós que você pede.
• Somos operador dos dados que a loja registra no produto sobre outras pessoas — o nome do funcionário na tela de Equipe, o nome que o cliente digita no pedido do cardápio, a observação escrita numa venda. Nesses, quem decide é a loja, que é a controladora; nós só guardamos e processamos conforme as instruções dela e o necessário para o serviço funcionar.

Há uma terceira posição, e ela existe mesmo. Em algumas operações nós decidimos finalidades próprias sobre dados que a loja registrou: segurança e prevenção a fraude, manutenção das cópias de segurança, e o diagnóstico técnico que o suporte exige. Nessas, a responsabilidade é conjunta com a loja (LGPD art. 5º, VI, e art. 42), e você pode nos procurar diretamente — não vamos empurrar você de volta para ela.

O que nos obrigamos a fazer como operador

Estas obrigações valem para toda loja usuária, independem de contrato assinado à parte e cumprem o que o art. 39 da LGPD exige:

• tratar os dados apenas conforme as instruções da loja controladora e o necessário para prestar o serviço, nunca para finalidade própria fora do que está descrito nesta política;
• manter as medidas de segurança da seção 13, e não reduzi-las sem aviso;
• não contratar subprocessador fora da lista da seção 9 sem avisar a loja com antecedência razoável, permitindo que ela se oponha e encerre;
• ajudar a loja a responder pedidos de titulares e a atender à ANPD, com as informações que só nós temos;
• comunicar à loja qualquer incidente de segurança que alcance dados dela, sem demora, com o que soubermos no momento;
• devolver ou eliminar os dados ao fim da relação, conforme a loja escolher, salvo o que a lei obrigue a guardar.

Recebendo um pedido de titular sobre dados em que somos apenas operador, encaminhamos à loja controladora em até 5 dias e ajudamos no que for preciso para ela responder.

3. Que dados coletamos

Cadastro da loja

O que você registra usando o app

Esses registros ficam primeiro no banco de dados do próprio aparelho e, havendo internet, são replicados para a área da sua loja na nuvem, que é isolada das demais.

Aparelho e uso

Assinatura

Guardamos o plano contratado, o valor, as datas, a situação da assinatura e o identificador dela no Mercado Pago. Promoção aplicada, quando houver, fica registrada junto.

Contato pelo site

Quem preenche o formulário do site informa nome e telefone, e opcionalmente e-mail e o tipo de negócio. Guardamos também de qual seção do site o formulário foi enviado e a data. Usamos isso para responder e abrir o teste — não é base de marketing e não sai daqui.

Formulário de cadastro da loja

Quem pede para a gente montar a loja preenche o formulário em cadastro.lhamaapp.com: nome da loja, e-mail da conta, WhatsApp, endereço, cidade, chave Pix e documento quando informados, o cardápio, as regras de entrega e as imagens enviadas (logo, fotos, cardápio). Usamos isso só para montar a loja pedida. O formulário chega ao nosso e-mail, e a cópia no sistema é apagada em até 60 dias depois do envio (o rascunho não enviado, em 3 dias).

Suporte e sugestões

O que você escreve na tela de ajuda ou nos manda por e-mail e WhatsApp fica guardado junto do nome da sua loja e da versão do aplicativo, para conseguirmos responder e entender o problema.

4. Para que usamos, e com que base legal

5. Os dados de quem compra da loja

Quando a loja publica o cardápio por QR, quem compra dela pode fazer um pedido sem criar conta. Conforme o pedido, são gravados:

• o nome para ser chamado, os itens, o total, a senha e os horários de cada etapa, e quem na loja atendeu;
• na entrega: telefone e endereço (rua, número, bairro, complemento e referência), para o entregador chegar e falar com a pessoa;
• se a pessoa quiser: o celular para juntar selos da fidelidade, e o aceite para receber novidades da loja pelo WhatsApp. O aceite é uma caixa separada e desmarcada — dar o telefone para o pedido não autoriza promoção;
• a avaliação do pedido e as mensagens trocadas com a loja na conversa do pedido, quando a pessoa usa esses recursos;
• o endereço IP de quem envia, usado apenas para segurar disparo automatizado contra a loja.

“Usar minha localização” é opcional: a posição do celular é convertida em endereço no nosso servidor, com a ajuda do OpenStreetMap, e não é guardada. O CEP digitado é consultado no ViaCEP ou na BrasilAPI para preencher a rua.

Com esses pedidos a loja forma a lista de clientes dela: nome, telefone, endereços, pedidos feitos, selos e, se a loja anotar, o aniversário. Não pedimos CPF nem e-mail ao Cliente Final.

Esses dados são da loja: ela é a controladora e nós somos o operador. É ela quem decide mandar mensagens pelo WhatsApp, e só pode mandar promoção a quem aceitou. As mensagens saem do WhatsApp da própria loja; o Lhama não envia nada ao cliente. Um cliente que queira acesso, correção ou eliminação deve procurar a loja — e, se nos procurar, encaminhamos. A loja também pode apagar um cliente na tela de Clientes.

6. Os dados da equipe da loja

Ao ligar alguém à conta, a loja informa o nome dessa pessoa. A partir daí ficam registrados o aparelho ligado, quando ele entrou, quando foi visto pela última vez, e o nome de quem registrou, cancelou, cobrou ou moveu cada venda e cada pedido. Dos entregadores, a loja cadastra o nome e o telefone, e fica registrado quem levou cada entrega.

Esse registro existe por um motivo prático: sem ele, o dono vê um furo no caixa e não tem como saber de onde veio. É a loja quem decide ligar a pessoa, e é dela o dever de informá-la sobre esse tratamento — o que está escrito nos Termos de Uso.

7. Dados de pagamento: o que não temos

O Lhama não recebe, não vê e não armazena número de cartão, código de segurança nem validade. A assinatura é paga no ambiente do Mercado Pago, e o que volta para nós é apenas o identificador da assinatura, o valor, a data e a situação do pagamento.

Nas vendas que a loja cobra pela conta dela — na maquininha (Mercado Pago, SumUp, PagBank ou Stone), no Pix confirmado ou no link de pagamento que o cliente abre —, o cartão é lido e processado pela própria credenciadora, e o dinheiro vai direto para a conta da loja. Do nosso lado ficam só o valor, a situação, a bandeira, os quatro últimos dígitos e o código de autorização que a credenciadora devolve, para o comprovante. Nós não custodiamos valores e não temos acesso ao extrato da loja.

8. Cookies e rastreamento

Não usamos cookie de publicidade, não há pixel de rede social e não há ferramenta de mapa de calor. O painel, o aplicativo e o cardápio público não medem audiência de jeito nenhum.

Na página inicial do site — só nela — usamos o Google Analytics para saber quantas pessoas chegam e por onde. Ele só carrega depois de você aceitar: ao entrar pela primeira vez aparece um aviso com duas respostas do mesmo tamanho, e enquanto você não responde nada é carregado. Recusar não muda nada do que você vê, e a sua resposta fica guardada no seu próprio navegador — não temos como saber quem recusou.

Se você aceitar, o Google Analytics grava cookies (_ga) que distinguem uma visita da outra, e recebe o endereço da página, a origem do acesso, o tipo de aparelho e uma versão abreviada do seu IP. Nada disso identifica você pelo nome, e nada disso é cruzado com o cadastro de quem é cliente. Para voltar atrás, apague os dados deste site no seu navegador: o aviso aparece de novo, e a resposta anterior deixa de valer.

Além dele, existem dois usos técnicos:

• Cookie de sessão, quando alguém entra no painel, na página de assinatura ou abre a tela da cozinha e a TV de chamada pelo link da loja. Ele é estritamente necessário para manter o acesso e não pode ser lido por script da página.
• Armazenamento local do navegador, no cardápio por QR: o pedido em andamento, para o cliente não perdê-lo ao recarregar a página, a lista dos últimos pedidos feitos naquele aparelho, que é o que permite acompanhar um pedido sem criar conta, e o telefone e o endereço da última entrega, para não precisar digitar de novo. Fica no aparelho dele e some quando ele limpa os dados do navegador.

9. Com quem compartilhamos

Compartilhamos dados apenas com quem é necessário para o serviço funcionar, e só na medida disso:

Em caso de reorganização ou transferência do negócio, os dados podem ser transferidos ao sucessor, que fica obrigado a esta mesma política. Você será avisado com antecedência e poderá excluir a conta antes.

10. Transferência internacional

Boa parte da infraestrutura que usamos (Google, Cloudflare, Zoho e as credenciadoras) tem servidores fora do Brasil, e parte do processamento pode ocorrer lá. Quando isso acontece, a transferência se apoia nas garantias contratuais oferecidas pelo fornecedor e nas hipóteses do art. 33 da LGPD, com o mesmo nível de proteção exigido aqui.

11. Por quanto tempo guardamos

• Enquanto a conta existir, os dados da loja ficam guardados — inclusive durante bloqueio por falta de pagamento, que não apaga nada.
• Excluiu a conta, os dados da loja são apagados, e a cobrança é cancelada antes disso. Não há desfazer.
• Assinatura encerrada sem exclusão: podemos apagar os dados depois de 180 dias, avisando com 30 dias de antecedência e disponibilizando a cópia antes. Sem as duas coisas feitas, nada é apagado.
• Pedidos e clientes da loja ficam no histórico dela enquanto a conta existir, como as vendas. A loja pode apagar um cliente a qualquer momento.
• Formulário de cadastro da loja: apagado do sistema em até 60 dias depois do envio; o rascunho não enviado, em 3 dias.
• Relatórios de falha: pelo prazo de retenção do Crashlytics, hoje de 90 dias.
• Registros de acesso a aplicação: seis meses, como determina o art. 15 do Marco Civil da Internet.
• Documentos e registros da cobrança: pelo prazo exigido pela legislação fiscal, em regra cinco anos.
• Contatos deixados no site: enquanto forem úteis para responder, e apagados a pedido a qualquer momento.

Dado guardado por obrigação legal fica isolado e não é usado para outra finalidade.

12. Os seus direitos, e como exercê-los

A LGPD dá a você, titular, os direitos do art. 18. Todos valem aqui:

• saber se tratamos dados seus, e acessá-los;
• corrigir dado incompleto, inexato ou desatualizado;
• pedir anonimização, bloqueio ou eliminação de dado desnecessário, excessivo ou tratado em desconformidade;
• pedir portabilidade a outro fornecedor, e receber uma cópia completa dos seus dados em formato aberto;
• eliminar dados tratados com base em consentimento, e revogar o consentimento;
• saber com quem compartilhamos;
• opor-se a tratamento feito com base em legítimo interesse, e pedir revisão de decisão automatizada.

Para exercer qualquer um deles, escreva para [email protected]. Respondemos em até 15 dias. Podemos pedir informação adicional para confirmar que o pedido vem mesmo do titular — atender a um pedido de quem se passa por outra pessoa seria o próprio vazamento.

Para apagar tudo sem falar com ninguém, use a página de exclusão de conta.

13. Como protegemos os dados

Entre as medidas que adotamos:

• Isolamento por loja. As regras do banco de dados só deixam cada conta ler e escrever a própria área. A situação da assinatura ela só lê — quem escreve é o servidor.
• Tráfego sempre cifrado. O aplicativo é configurado para recusar conexão sem HTTPS no nível do sistema.
• Backup do Android desligado. A cópia automática do sistema é desabilitada, para que o banco de vendas não possa ser extraído do aparelho por fora do aplicativo.
• PIN derivado, nunca guardado em claro. O que fica no aparelho é o resultado de uma derivação de chave com sal aleatório, e a tela trava progressivamente depois de erros seguidos.
• Credenciais de pagamento no servidor. O token do Mercado Pago da loja nunca é entregue ao aparelho.
• Limite de requisições nas rotas abertas, e acesso administrativo restrito a poucas contas nomeadas.

Nenhum sistema é infalível, e não prometemos segurança absoluta — mas tratamos incidente como assunto sério, e a seção seguinte diz o que fazemos.

14. Se acontecer um incidente

Havendo incidente de segurança que possa acarretar risco ou dano relevante, comunicaremos a Autoridade Nacional de Proteção de Dados e os titulares afetados em prazo razoável, na forma do art. 48 da LGPD, descrevendo o que aconteceu, quais dados foram atingidos, o que já foi feito e o que recomendamos.

15. Decisões automatizadas

Há uma decisão tomada automaticamente pelo sistema: o bloqueio do aplicativo quando a assinatura não está em dia. Ela olha apenas a situação e a data de validade da assinatura, não avalia comportamento e não cria perfil de ninguém.

Se você achar que o bloqueio está errado, escreva para nós: revisamos por pessoa, e o acesso volta assim que o erro for confirmado. Nenhum dado é apagado enquanto isso.

16. Menores de idade

O Lhama é uma ferramenta de trabalho e não se destina a menores de 18 anos. Não coletamos dados de crianças e adolescentes conscientemente. O cardápio por QR pede apenas um nome para chamar no balcão e não cria cadastro de quem faz o pedido.

Se soubermos que uma conta foi criada por menor, ou que dados de criança foram cadastrados sem base legal, apagaremos o quanto antes. Avise-nos se for o caso.

17. Mudanças nesta política

Esta política pode ser atualizada quando o produto mudar ou a lei exigir. A versão em vigor está sempre nesta página, com a data no topo. Mudança relevante será comunicada por e-mail ou dentro do produto, com 30 dias de antecedência.

18. Encarregado e contato

O encarregado pelo tratamento de dados pessoais, para efeito do art. 41 da LGPD, é o titular do Lhama, e pode ser contatado por:

• E-mail: [email protected]

Você também pode apresentar reclamação diretamente à Autoridade Nacional de Proteção de Dados (ANPD).