Política de Privacidade e Proteção de Dados (LGPD)

1. Introdução e Compromisso com a Privacidade

A CUMIM TECNOLOGIA DA INFORMAÇÃO LTDA. ("Cumim" ou "nós"), inscrita no CNPJ sob o nº 58.741.982/0001-34, com sede em Recife/PE, tem como princípio fundamental o respeito à privacidade, ao sigilo bancário, à inviolabilidade da intimidade e à segurança das informações dos seus usuários e clientes.

Esta Política de Privacidade explica de forma clara, objetiva e transparente como coletamos, tratamos, compartilhamos e protegemos os dados pessoais dos estabelecimentos contratantes, seus colaboradores e dos consumidores finais, em estrita observância à Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 - "LGPD"), ao Marco Civil da Internet (Lei nº 12.965/2014) e às diretrizes emanadas pela Autoridade Nacional de Proteção de Dados (ANPD).

2. Definição de Papéis perante a LGPD

Em virtude do modelo de software como serviço (SaaS multi-tenant) operado pela plataforma Cumim, as responsabilidades de tratamento são distribuídas da seguinte forma:

• Cumim como Controladora: Atuamos como Controladora de dados pessoais em relação às informações cadastrais, de faturamento, histórico de pagamentos e registros de auditoria dos representantes e colaboradores dos estabelecimentos comerciais (restaurantes, bares e lanchonetes) que contratam a plataforma, bem como dos visitantes de nosso site institucional.
• Cumim como Operadora: Atuamos como Operadora de dados pessoais em relação aos dados dos consumidores finais (clientes dos restaurantes) que realizam pedidos no salão, mesas ou delivery via cardápio web. Nesse contexto, o respectivoRestaurante é o Controlador, sendo o responsável por definir as bases legais aplicáveis e as diretrizes do tratamento, cabendo ao Cumim unicamente processar tais dados para viabilizar a entrega dos pedidos e a emissão dos comprovantes fiscais.
• Cumim como Controladora Independente da "Conta Cumim": Quando um consumidor final opta por criar voluntariamente uma conta de usuário no aplicativo web do Cumim (para salvar seus endereços e histórico unificado entre múltiplos estabelecimentos), o Cumim atua como Controlador independente exclusivamente para o gerenciamento de tal credencial unificada.

3. Encarregado pelo Tratamento de Dados Pessoais (DPO)

Para exercer quaisquer de seus direitos de titular, solicitar esclarecimentos ou relatar quaisquer dúvidas sobre a proteção de dados na plataforma, entre em contato direto com o nosso Encarregado de Dados (DPO):

4. Categorias de Dados Pessoais Coletados

Coletamos apenas os dados estritamente necessários para a prestação dos nossos serviços:

• Dados Cadastrais do Estabelecimento (Tenants): Razão Social, Nome Fantasia, CNPJ, nome completo do responsável legal, e-mail corporativo, telefone/WhatsApp comercial, endereço do estabelecimento, fuso horário e dados de faturamento.
• Dados dos Colaboradores do Restaurante: Nome, e-mail institucional, função (Dono, Gerente, Garçom, Cozinha, Caixa, Entregador) e senha criptografada com algoritmo de dispersão unidirecional (hash).
• Dados Fiscais do Estabelecimento: Certificado Digital modelo A1 (arquivo .pfx/PKCS#12 e senha da chave privada), regime tributário, CSC/Token e séries fiscais da SEFAZ. O certificado é integralmente criptografado e usado exclusivamente para a assinatura das notas fiscais emitidas pelo próprio restaurante.
• Dados dos Consumidores Finais (Cardápio / Delivery): Nome completo, telefone/WhatsApp de contato, endereço físico de entrega, geolocalização informada para cálculo de frete, histórico de pedidos e itens consumidos, observações alimentares e CPF (quando solicitado voluntariamente pelo consumidor para constar na Nota Fiscal de Consumidor Eletrônica - NFC-e).
• Dados Financeiros e de Pagamento: O Cumim não coleta nem armazena números completos de cartões de crédito ou códigos de segurança (CVV). Todas as transações com cartão são processadas de forma tokenizada por gateways de pagamento credenciados e em conformidade com as normas internacionais de segurança PCI-DSS.
• Registros de Acesso a Aplicação (Marco Civil da Internet): Endereço IP de origem, porta lógica, data e hora da conexão, dispositivo utilizado e identificador de sessão.

5. Finalidades e Bases Legais do Tratamento (Art. 7º da LGPD)

Todo e qualquer tratamento de dados pessoais realizado pelo Cumim está fundamentado em uma base legal válida prevista na LGPD:

1. Execução de Contrato (Art. 7º, V): Viabilizar o funcionamento do sistema, processar pedidos de clientes no salão e delivery, gerenciar comandas, faturar a assinatura mensal da plataforma e prestar suporte técnico aos usuários.
2. Cumprimento de Obrigação Legal ou Regulatória (Art. 7º, II):
   • Guarda obrigatória de registros de conexão e acesso a aplicações de internet pelo prazo de 6 (seis) meses, conforme determinado pelo Artigo 15 da Lei nº 12.965/2014 (Marco Civil da Internet).
   • Emissão, transmissão e guarda de documentos fiscais eletrônicos (NFC-e modelo 65) pelo prazo legal de 5 (cinco) anos, em atendimento ao Código Tributário Nacional e à legislação da Secretaria da Fazenda de Pernambuco (SEFAZ-PE).
3. Legítimo Interesse (Art. 7º, IX): Prevenção a fraudes e ataques cibernéticos, monitoramento de saúde dos servidores, aprimoramento de usabilidade e métricas analíticas agregadas de desempenho dos canais de vendas.
4. Consentimento (Art. 7º, I): Criação opcional e unificada da "Conta Cumim" pelo consumidor final e comunicações promocionais facultativas, podendo ser revogado a qualquer instante pelo titular.

6. Inteligência Artificial e Transparência Algorítmica

O Cumim utiliza modelos de inteligência artificial generativa de ponta (como Google Gemini e Anthropic Claude) para otimizar o atendimento automatizado ao cliente, esclarecimento de dúvidas sobre pratos do cardápio e auxílio operacional.

• Proteção contra Treinamento: Nossos acordos com os provedores de infraestrutura de inteligência artificial asseguram que as mensagens, pedidos e informações transmitidas não são utilizadas para o treinamento de modelos de linguagem públicos.
• Direito à Revisão Humana (Art. 20 da LGPD): O titular tem o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, bastando entrar em contato através dos canais de suporte.

7. Compartilhamento de Dados com Terceiros

Não vendemos, não alugamos e não comercializamos dados pessoais com terceiros sob nenhuma hipótese. O compartilhamento ocorre estritamente quando indispensável para a prestação dos serviços contratados, envolvendo os seguintes parceiros (suboperadores):

• Provedores de Infraestrutura em Nuvem: Servidores de hospedagem, bancos de dados PostgreSQL e armazenamento seguro com padrão de segurança SOC 2 e ISO 27001.
• Instituições e Intermediadores de Pagamento: Processamento de cobranças de assinaturas e de pedidos (ex.: Mercado Pago, Asaas, Pagar.me), com certificação PCI-DSS.
• Autoridades Fiscais e Fazendárias: Envio obrigatório de dados fiscais à Secretaria da Fazenda Estadual (SEFAZ) para autorização das Notas Fiscais Eletrônicas de Consumidor.
• Serviços de E-mail Transacional: Provedores SMTP dedicados para envio de confirmações de pedidos, tokens de segurança e faturas.

8. Medidas de Segurança da Informação (Privacy by Design)

O Cumim adota salvaguardas técnicas, administrativas e organizacionais compatíveis com o estado da arte para proteger as informações contra acessos não autorizados, destruição, perda, alteração ou vazamento:

• Criptografia em Trânsito: Todo o tráfego web e APIs utilizam criptografia robusta TLS 1.3 / HTTPS com certificados digitais válidos.
• Criptografia em Repouso: Senhas mestras, chaves de API de terceiros e certificados digitais A1 (.pfx) são criptografados no banco de dados com algoritmo simétrico AES-256.
• Hashes Irreversíveis: As senhas de usuários são transformadas em códigos criptográficos unidirecionais através do algoritmo Bcrypt com fator de custo elevado (fator 12), impedindo sua recuperação mesmo em caso de incidentes.
• Isolamento Lógico Multi-Tenant: A arquitetura do sistema garante rigoroso isolamento entre os dados de cada restaurante, impedindo acessos cruzados não autorizados.
• Logs de Auditoria e Rate Limiting: Rastreamento cronológico de ações críticas na plataforma e proteção de rotas contra ataques de força bruta.

9. Retenção e Descarte Seguro de Dados

Os dados pessoais são conservados somente pelo período necessário para atender às finalidades para as quais foram coletados, observados os seguintes prazos legais mínimos:

• Registros de Acesso a Aplicação: 6 (seis) meses a contar do registro, em cumprimento estrito ao Artigo 15 do Marco Civil da Internet.
• Documentos Fiscais e XMLs de NFC-e: 5 (cinco) anos após a emissão, em cumprimento às obrigações tributárias e fiscais vigentes (Artigos 173 e 174 do Código Tributário Nacional).
• Dados de Faturamento e Assinatura: 5 (cinco) anos após o encerramento do contrato, para fins de comprovação fiscal e proteção jurídica perante prazos prescricionais cíveis.
• Dados de Cadastro de Consumidores: Mantidos enquanto ativa a conta ou até que o titular solicite sua exclusão, respeitadas as exceções de guarda legal previstas no Artigo 16 da LGPD.

10. Direitos dos Titulares de Dados Pessoais (Artigo 18 da LGPD)

A qualquer momento e sem custos, o titular de dados pessoais pode exercer seus direitos garantidos pela legislação através de requisição endereçada ao nosso Encarregado pelo e-mail [email protected]:

1. Confirmação e Acesso: Confirmar a existência de tratamento e solicitar cópia completa dos dados tratados;
2. Correção: Solicitar a retificação imediata de dados incompletos, inexatos ou desatualizados;
3. Anonimização, Bloqueio ou Eliminação: Requerer que dados excessivos ou tratados em desconformidade com a LGPD sejam anonimizados, bloqueados ou descartados;
4. Portabilidade: Solicitar a portabilidade dos seus dados cadastrais em formato estruturado e interoperável;
5. Eliminação dos Dados: Pedir a exclusão definitiva dos dados pessoais tratados sob o consentimento, ressalvadas as hipóteses legais de conservação pelo cumprimento de obrigação legal ou fiscal;
6. Informação sobre Compartilhamentos: Obter esclarecimentos sobre as entidades públicas e privadas com as quais realizamos uso compartilhado de dados;
7. Revogação do Consentimento: Revogar o consentimento outrora concedido para finalidades opcionais, sendo informado sobre as consequências operacionais da negativa.

11. Cookies, Armazenamento Local e Rastreamento

O Cumim valoriza a transparência e adota uma postura minimalista em relação a tecnologias de rastreamento:

• Cookies e Armazenamento Técnico: Utilizamos exclusivamente armazenamento local (LocalStorage e cookies estritamente necessários) para autenticação segura de sessões ativas (tokens JWT) e preferências de exibição de tela.
• Ausência de Cookies de Publicidade: Não utilizamos cookies invasivos de remarketing ou rastreamento de terceiros para publicidade comportamental.
• Parâmetros de Campanha (UTM): Quando você acessa nosso site através de um link de divulgação, lemos parâmetros analíticos básicos (UTM) apenas no momento do cadastro para verificar qual canal trouxe o novo restaurante parceiro, sem rastreamento de sua navegação externa.

12. Notificação de Incidentes de Segurança

O Cumim mantém um programa contínuo de gestão de incidentes. Caso ocorra qualquer incidente de segurança relevante que possa acarretar risco ou dano significativo aos titulares de dados pessoais, o Cumim comunicará formalmente a Autoridade Nacional de Proteção de Dados (ANPD) e os estabelecimentos e titulares envolvidos em prazo razoável, em conformidade com o Artigo 48 da LGPD.

13. Alterações desta Política e Foro

Buscando o constante aprimoramento de nossos processos de privacidade, esta Política poderá ser atualizada a qualquer tempo. As alterações serão divulgadas nesta página com a respectiva data de atualização. Recomendamos a consulta periódica deste documento.

Para dirimir controvérsias decorrentes desta Política de Privacidade, fica eleito o Foro da Comarca de Recife, Estado de Pernambuco, com a aplicação da legislação da República Federativa do Brasil.