Esta Política de Privacidade explica como a plataforma SaborÁgil trata dados pessoais, em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018, LGPD), o Marco Civil da Internet (Lei 12.965/2014) e o Código de Defesa do Consumidor. Os termos com inicial maiúscula têm o significado definido nos Termos de Uso.

## 1. Quem trata os seus dados

A plataforma é operada por **ESOFT. SERATHIUK LTDA**, CNPJ 66.102.048/0001-19, com sede em Rua Belmira Carvalho Bertoldi, 1231, Casa 2, Condomínio Porto Real Res., Campo de Santana, Curitiba/PR, CEP 81490-502 ("SaborÁgil").

**Encarregado pelo tratamento de dados pessoais** (LGPD, art. 41): **Carlos Serathiuk**, pelo e-mail **juridico@saboragil.com**. É por esse canal que titulares e a Autoridade Nacional de Proteção de Dados (ANPD) falam conosco sobre dados pessoais.

## 2. Dois papéis: controladora e operadora

A SaborÁgil é uma plataforma usada por vários restaurantes. Isso muda quem decide sobre cada dado (LGPD, art. 5º, VI e VII):

- **Dados da conta, dos Usuários, de cobrança, de uso da Plataforma e de prospecção comercial**: a SaborÁgil é a **controladora**.
- **Dados dos clientes de cada restaurante** (quem pede pelo cardápio digital, por integração ou no balcão): o **restaurante é o controlador** e a SaborÁgil é **operadora**, tratando esses dados só em nome do restaurante e conforme as instruções dele (LGPD, art. 39). Se você é cliente de um restaurante e quer exercer seus direitos, fale com o restaurante. Se escrever para nós, encaminhamos o pedido a ele e o apoiamos no atendimento.

## 3. Dados que tratamos, para quê e com qual base legal

### 3.1. Donos, gerentes e funcionários de restaurantes (Usuários)

- **Cadastro e login**: nome, e-mail, senha (guardada só como hash), foto e e-mail do perfil Google quando você entra com Google, papel no restaurante. Finalidade: criar e proteger a conta. Base legal: execução de contrato (LGPD, art. 7º, V).
- **Dados do restaurante e de cobrança**: nome, telefone, endereço, CNPJ ou CPF de cobrança, plano, faturas e pagamentos. Finalidade: prestar o serviço e cobrar a assinatura. Base legal: execução de contrato e cumprimento de obrigação legal fiscal (art. 7º, II e V).
- **Registros de acesso à aplicação**: data, hora e endereço IP de cada acesso. Finalidade: segurança e cumprimento do Marco Civil da Internet. Base legal: obrigação legal (art. 7º, II; Lei 12.965/2014, art. 15).
- **Registro de aceite dos Termos e desta Política**: nome, e-mail, data e hora, IP, navegador, versão e código de integridade do texto aceito. Finalidade: provar a contratação. Base legal: execução de contrato e exercício regular de direitos (art. 7º, V e VI).
- **Uso da Plataforma**: ações feitas no sistema (pedidos criados, alterações de cardápio, acessos às telas). Finalidade: funcionamento, suporte, prevenção de fraude e melhoria do serviço. Base legal: execução de contrato e legítimo interesse (art. 7º, V e IX).
- **Comunicações por e-mail**: avisos sobre a conta, a cobrança e a segurança, com base na execução do contrato. Novidades e ofertas só com o seu consentimento, que pode ser retirado a qualquer momento pelo link no próprio e-mail ou nas configurações (art. 7º, I, e art. 8º, §5º).

### 3.2. Clientes dos restaurantes (dados em que somos operadora)

- Nome, telefone e endereço de entrega, incluindo as coordenadas geográficas do endereço, para calcular frete e rota.
- Itens, valores, forma de pagamento e situação do pedido.
- Mensagens trocadas com o restaurante pelo WhatsApp, quando o restaurante usa essa integração, e notificações de status do pedido enviadas por ele.
- Nome e telefone de entregadores cadastrados pelo restaurante e a localização do entregador durante a entrega, quando o restaurante usa o rastreamento.

A base legal desses tratamentos é definida pelo restaurante, normalmente a execução do contrato de compra com o cliente (art. 7º, V). A SaborÁgil não usa esses dados para finalidade própria, não os vende e não faz publicidade com eles.

### 3.3. Prospecção comercial da SaborÁgil

Para oferecer a Plataforma a restaurantes, tratamos dados de contato comercial de estabelecimentos (nome do estabelecimento, nome do responsável quando disponível, telefone e e-mail comerciais, cidade), obtidos de fontes públicas e de fornecedores de bases comerciais que declaram ter base legal para o compartilhamento. Finalidade: apresentar a Plataforma. Base legal: legítimo interesse (art. 7º, IX, e art. 10), avaliado e documentado por nós. Em toda mensagem informamos quem somos e como parar de receber contato: basta responder PARAR ou usar o link de descadastro. Quem pede para não ser contatado vai para uma lista de bloqueio, mantida só para garantir que o pedido seja respeitado.

## 4. Cookies e tecnologias semelhantes

Usamos três grupos de tecnologias. Só os dois últimos dependem da sua escolha.

- **Necessários**: o armazenamento local do navegador (localStorage) mantém a sessão de login, a preferência de tema, a sua escolha sobre cookies e, no cardápio digital, o nome e o telefone do cliente para o próximo pedido no mesmo restaurante. Também usamos o Cloudflare Turnstile para impedir robôs no cadastro e no login. Esses itens não dependem de consentimento porque o serviço não funciona sem eles.
- **Medição sem cookies**: o Cloudflare Web Analytics mede visitas de forma agregada, sem cookies e sem identificar o visitante.
- **Análise (opcional)**: Google Analytics, para saber quantas pessoas visitam o site e quais páginas usam. Grava cookies como _ga e _gid, que duram até 2 anos.
- **Publicidade (opcional)**: Google Ads e Meta Pixel, para medir o resultado dos anúncios da SaborÁgil e mostrar anúncios relevantes. Gravam cookies como _gcl_au e _fbp, que duram até 90 dias.

**Onde e quando as opcionais rodam**: somente no site institucional (saboragil.com, incluindo as páginas de recursos, Termos de Uso e Política de Privacidade) e na página de cadastro e login, e **somente depois que você consente** no aviso de cookies, escolhendo cada categoria separadamente. Antes da sua escolha, nenhuma delas é carregada. Elas nunca são carregadas no cardápio digital dos restaurantes, no checkout, no acompanhamento de pedidos nem no painel do restaurante; ao entrar no painel depois do login, a página é carregada de novo sem elas. A base legal é o seu consentimento (LGPD, art. 7º, I).

**Sua escolha**: recusar tem o mesmo peso de aceitar e não muda nada no uso do site. A escolha fica guardada só no seu navegador por 12 meses, e depois disso perguntamos de novo. Você pode mudá-la ou retirar o consentimento a qualquer momento pelo link **Preferências de cookies** no rodapé do site, nas páginas de Termos de Uso e Política de Privacidade e na página de login; ao retirar, apagamos os cookies dessas ferramentas do seu navegador.

## 5. Com quem compartilhamos

Compartilhamos dados apenas com os fornecedores necessários para operar a Plataforma (suboperadores), que tratam os dados conforme nossas instruções e contratos com cláusulas de proteção de dados:

- **Supabase Inc.** (Estados Unidos): banco de dados, autenticação e armazenamento de arquivos.
- **Cloudflare Inc.** (Estados Unidos): hospedagem da aplicação, entrega de conteúdo, proteção contra ataques, Turnstile e Web Analytics.
- **Asaas Gestão Financeira Instituição de Pagamento S.A.** (Brasil): cobrança da assinatura.
- **Mercado Pago** (Brasil): pagamentos Pix dos clientes, quando o restaurante conecta a conta dele.
- **Resend Inc.** (Estados Unidos): envio de e-mails.
- **Meta Platforms** (Estados Unidos e Irlanda): API do WhatsApp para mensagens do restaurante com seus clientes e da SaborÁgil na prospecção; Meta Pixel no site institucional e na página de cadastro e login, só com consentimento (seção 4).
- **Google LLC** (Estados Unidos): login com Google; Google Maps Platform para localizar endereços e calcular rotas; Google Analytics e Google Ads no site institucional e na página de cadastro e login, só com consentimento (seção 4).
- **OpenAI** (Estados Unidos): resposta automática a mensagens de WhatsApp, quando o restaurante liga o atendimento automático.
- **Anthropic** (Estados Unidos): leitura automática de cardápio a partir de foto ou arquivo enviado pelo restaurante.
- **iFood e 99Food** (Brasil): recebimento e sincronização de pedidos, quando o restaurante ativa a integração.
- **ViaCEP, BrasilAPI e OpenStreetMap/Nominatim**: consulta de CEP e endereço, sem envio de nome ou telefone.

Também podemos fornecer dados quando exigido por lei, por ordem judicial ou por requisição de autoridade competente. **Não vendemos dados pessoais.**

## 6. Transferência internacional

Parte dos fornecedores acima armazena ou processa dados fora do Brasil. Essas transferências se apoiam nas cláusulas contratuais de proteção de dados adotadas com cada fornecedor, conforme o art. 33, II, da LGPD e a Resolução CD/ANPD nº 19/2024, e só ocorrem na medida necessária para prestar o serviço.

## 7. Por quanto tempo guardamos

- **Dados da conta e do restaurante, inclusive Dados de Clientes Finais**: enquanto a conta existir. Pedido o encerramento, a conta fica 30 dias em modo só de leitura para exportação e depois os dados são excluídos (Termos de Uso, cláusula 12).
- **Dados de cobrança e fiscais da assinatura**: 5 anos, contados do primeiro dia do exercício seguinte, pelo prazo da legislação tributária (Código Tributário Nacional, arts. 173 e 174).
- **Registros de acesso à aplicação**: 6 meses (Marco Civil da Internet, art. 15), ou mais quando requisitado por autoridade.
- **Registro de aceite dos Termos e desta Política**: até 10 anos após o encerramento da conta, prazo geral de prescrição (Código Civil, art. 205), para defesa em eventual processo.
- **Dados de prospecção comercial**: até você pedir para não ser contatado ou após 24 meses sem interação. A lista de bloqueio é mantida enquanto durar a prospecção.
- **Registros de incidentes de segurança**: 5 anos (Resolução CD/ANPD nº 15/2024).

Terminado o prazo, os dados são excluídos ou anonimizados (LGPD, arts. 15 e 16).

## 8. Seus direitos

Sobre os dados em que somos controladora, você pode pedir a qualquer momento (LGPD, art. 18): confirmação de que tratamos seus dados; acesso; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com consentimento; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir e suas consequências; revogação do consentimento; e revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20). Você também pode se opor a tratamento feito com base em legítimo interesse, como a prospecção comercial.

**Como pedir**: pelo e-mail juridico@saboragil.com, do e-mail cadastrado na conta, ou informando dados suficientes para confirmarmos sua identidade. Podemos pedir uma confirmação adicional para não entregar seus dados a outra pessoa.

**Prazo**: a confirmação de existência e o acesso em formato simplificado são imediatos quando possível; a declaração completa é enviada em até 15 dias do pedido (LGPD, art. 19). Quando não pudermos atender, explicamos o motivo, por exemplo uma obrigação legal de guarda.

Você também pode apresentar reclamação à ANPD (gov.br/anpd).

## 9. Segurança

Adotamos medidas técnicas e administrativas proporcionais ao risco (LGPD, art. 46): conexão criptografada (HTTPS com HSTS); isolamento dos dados de cada restaurante no próprio banco de dados, por controle de acesso por linha; controle de acesso por papel dentro de cada restaurante; senhas guardadas apenas como hash; chaves de integração nunca expostas ao navegador; política de senha forte e proteção contra robôs no login; e acesso da nossa equipe restrito ao necessário (Termos de Uso, cláusula 17). Nenhum sistema é totalmente imune a falhas.

## 10. Incidentes de segurança

Se ocorrer um incidente que possa causar risco ou dano relevante aos titulares, comunicaremos a ANPD e os titulares afetados em até 3 dias úteis do conhecimento, com a natureza dos dados afetados, os riscos e as medidas adotadas (LGPD, art. 48, e Resolução CD/ANPD nº 15/2024). Quando o incidente envolver Dados de Clientes Finais, avisamos também o restaurante controlador, para que ele cumpra as obrigações dele.

## 11. Crianças e adolescentes

A Plataforma não é destinada a menores de 18 anos e não coletamos intencionalmente dados de crianças. Se você souber de algum caso, avise pelo e-mail juridico@saboragil.com.

## 12. Alterações desta Política

Cada versão desta Política recebe um número e fica publicada permanentemente. Mudanças relevantes são comunicadas por e-mail e no painel, com um resumo do que mudou, e passam a valer após o seu aceite na tela de aceite.