Esta Política explica quais dados pessoais o Mandai trata, para quê, com quem compartilha, por quanto tempo guarda e como você pode exercer os seus direitos, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, a LGPD).
1. Quem decide sobre os seus dados
O Mandai atende dois públicos, e o nosso papel é diferente em cada um:
- Se você é dono ou usuário de um estabelecimento cadastrado no Mandai, nós somos o controlador dos seus dados: decidimos como e por que eles são tratados.
- Se você fez um pedido em um cardápio, o controlador dos seus dados é o estabelecimento em que você pediu. O Mandai é o operador: guarda e processa os dados em nome do estabelecimento, apenas para que ele receba e atenda o seu pedido. Para pedidos sobre os seus dados, procure primeiro o estabelecimento; se não conseguir, fale com a gente pelo contato da seção 10 e encaminharemos o pedido.
2. Dados de estabelecimentos e seus usuários
O que coletamos
- Cadastro: nome, e-mail, telefone/WhatsApp e senha (guardada apenas em forma criptografada, que nem nós conseguimos ler).
- Estabelecimento: nome, endereço do cardápio, endereço físico, redes sociais, logo, fotos e o conteúdo do cardápio.
- Cobrança, ao assinar um plano pago: CPF ou CNPJ, endereço e telefone, e o histórico de pagamentos. Os dados de cartão são digitados diretamente no ambiente do Asaas e não passam pelos nossos servidores.
- Uso: data de cadastro, data do último acesso ao painel, número de produtos e pedidos, recursos usados, e o endereço IP das requisições.
- Origem do cadastro: a campanha ou o site que trouxe você ao Mandai, quando o link de cadastro trouxer essa informação. Não usamos cookie para isso: ela segue no próprio link e só é gravada se a conta for criada.
- Atendimento: mensagens trocadas com o suporte e anotações internas sobre a conta.
Para que usamos e com qual base legal
- Criar e manter a conta, prestar o serviço e cobrar a assinatura — execução de contrato (art. 7º, V).
- Emitir cobranças e cumprir obrigações fiscais — cumprimento de obrigação legal (art. 7º, II).
- Proteger a plataforma contra fraude e abuso, limitar requisições e investigar erros — legítimo interesse (art. 7º, IX).
- Avisar sobre o uso do plano, pagamentos pendentes e mudanças no serviço, e oferecer ajuda a quem está começando — legítimo interesse. Você pode pedir para não receber contatos que não sejam essenciais ao serviço.
- Entender quais canais trazem estabelecimentos e como o produto é usado, para melhorá-lo — legítimo interesse.
3. Dados de quem faz pedidos
O que é tratado
- No pedido: nome, WhatsApp, endereço de entrega e bairro, forma de pagamento, troco, observações, cupom usado e os itens pedidos.
- Opcional: data de nascimento, se você informar.
- Conta de cliente, se o estabelecimento oferecer e você criar: WhatsApp e senha (guardada apenas em forma criptografada).
- Técnico: endereço IP, usado só para limitar tentativas e proteger o checkout contra pedidos falsos.
Para que é usado
Para registrar o pedido, montar a mensagem enviada ao WhatsApp do estabelecimento, mostrar a situação do pedido no link de acompanhamento e permitir que o estabelecimento atenda, entregue e acompanhe o histórico dos seus clientes (por exemplo, aniversariantes e clientes recorrentes). O Mandai não usa esses dados para fins próprios, não envia publicidade e não os vende.
O que fica só no seu aparelho
O carrinho e, se você marcar "Lembrar meus dados neste aparelho", o seu nome, WhatsApp, endereço e data de nascimento ficam guardados no armazenamento do seu navegador, para agilizar o próximo pedido. Esses dados não são enviados aos nossos servidores até você finalizar um pedido. O carrinho é descartado depois de 24 horas; os dados lembrados podem ser apagados desmarcando a opção no checkout ou limpando os dados do navegador.
4. Com quem compartilhamos
Não vendemos dados pessoais. Compartilhamos apenas o necessário com:
- O estabelecimento em que você fez o pedido, que recebe os dados do pedido no painel e no WhatsApp.
- Magalu Cloud (Brasil): hospedagem dos servidores, do banco de dados e das cópias de segurança.
- Asaas (Brasil): processamento das assinaturas dos estabelecimentos. Recebe apenas dados de quem assina um plano, nunca dos clientes finais.
- Google: envio dos e-mails da plataforma (como recuperação de senha e avisos de cobrança).
- Sentry, quando ativado: registro de erros técnicos para correção. Está configurado para não receber dados pessoais dos formulários.
- WhatsApp (Meta): a mensagem do pedido é enviada pelo seu próprio WhatsApp, sob os termos e a política de privacidade do WhatsApp.
- Autoridades, quando exigido por lei ou ordem judicial.
Alguns desses fornecedores podem tratar dados fora do Brasil. Nesses casos, a transferência segue o artigo 33 da LGPD, com fornecedores que oferecem garantias adequadas de proteção.
5. Cookies e armazenamento no navegador
Usamos apenas cookies essenciais: o de sessão, que mantém você conectado ao painel ou à conta de cliente, e o de proteção contra falsificação de requisições (CSRF). O armazenamento local do navegador guarda o carrinho e os dados lembrados, como descrito na seção 3. Não usamos cookies de publicidade nem ferramentas de rastreamento de terceiros, e as fontes e scripts do site são servidos pelo nosso próprio domínio.
6. Por quanto tempo guardamos
- Enquanto a conta do estabelecimento estiver ativa, os dados dela e dos pedidos recebidos são mantidos, para o histórico e os relatórios.
- Após o pedido de encerramento, os dados ficam guardados por 30 dias, período em que o estabelecimento pode reativar a conta.
- Passado esse prazo, nome, telefone, endereço e data de nascimento dos clientes finais são anonimizados, e as contas de cliente são apagadas.
- Registros de pedidos, já sem dados pessoais (valor, data, forma de pagamento), são mantidos por 5 anos por exigência fiscal e contábil, e depois eliminados.
- Registros de acesso à aplicação (IP, data e hora) são guardados por 6 meses, como exige o Marco Civil da Internet (Lei nº 12.965/2014, art. 15).
- Cópias de segurança são apagadas automaticamente em até 14 dias.
O estabelecimento também pode excluir uma conta de cliente a qualquer momento pelo painel, e o próprio cliente pode excluir a sua conta. Os pedidos já feitos permanecem no histórico do estabelecimento, sem o vínculo com a conta.
7. Segurança
- Toda a comunicação usa conexão criptografada (HTTPS).
- Senhas são armazenadas apenas em forma criptografada e irreversível.
- Os dados de cada estabelecimento são isolados: um estabelecimento não tem acesso aos clientes e pedidos de outro.
- O banco de dados não fica exposto à internet, e o acesso aos servidores é restrito e feito por chave criptográfica.
- Há limite de tentativas no login, no cadastro, na recuperação de senha e no checkout.
- Fazemos cópias de segurança diárias, guardadas fora do servidor principal.
Nenhum sistema é totalmente imune a falhas. Se ocorrer um incidente de segurança que possa gerar risco ou dano relevante, avisaremos os afetados e a Autoridade Nacional de Proteção de Dados (ANPD), como exige a lei.
8. Seus direitos
Pela LGPD (art. 18), você pode pedir, a qualquer momento:
- confirmação de que tratamos os seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei;
- portabilidade dos dados a outro fornecedor;
- informação sobre com quem compartilhamos os seus dados;
- revisão de decisões tomadas apenas com base em tratamento automatizado;
- oposição a tratamento baseado em legítimo interesse.
Donos de estabelecimento podem corrigir a maior parte dos dados direto no painel, e encerrar a conta por lá. Responderemos aos pedidos em até 15 dias. Você também pode reclamar à ANPD (gov.br/anpd).
9. Menores de idade
O cadastro de estabelecimentos é restrito a maiores de 18 anos. Os cardápios não se destinam a coletar dados de crianças; se um estabelecimento souber que tratou dados de uma criança sem o consentimento de um responsável, deve solicitar a exclusão.
10. Encarregado de dados e contato
O canal do encarregado pelo tratamento de dados pessoais (art. 41 da LGPD) é o e-mail mandai.suporte@gmail.com.
11. Alterações desta Política
Podemos atualizar esta Política para refletir mudanças no serviço ou na lei. A versão e a data da última atualização ficam no topo da página, e mudanças relevantes são avisadas aos estabelecimentos por e-mail ou no painel.