Legal
Política de privacidade
Última atualização: 7 de novembro de 2026
1.Quem somos e a quem esta política se aplica
Esta política explica como [Razão social a preencher] (CNPJ [CNPJ a preencher]), responsável pelo MesaQR, trata dados pessoais, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, “LGPD”).
Ela se aplica a três grupos de pessoas:
- Usuários do painel: donos e equipes dos restaurantes que usam o MesaQR. Para esses dados, somos o controlador.
- Clientes dos restaurantes: quem faz pedidos pelo QR Code, pelo site do restaurante ou é cadastrado pelo restaurante. Para esses dados, o restaurante é o controlador e o MesaQR atua como operador, tratando os dados em nome e conforme as instruções do restaurante.
- Visitantes do site do MesaQR.
2.Quais dados tratamos
Usuários do painel
- Conta: nome, e-mail, celular e senha (guardada só como código criptográfico, nunca em texto). Também os códigos da verificação em duas etapas.
- Restaurante: nome, CNPJ ou CPF, endereço, telefone, chave Pix, logo, fotos e, se você emitir notas, os dados fiscais e o certificado digital (guardado em área privada).
- Assinatura: plano, histórico de cobranças e, para cartão, só bandeira, quatro últimos dígitos, validade, nome do titular e CPF/CNPJ. O número completo e o código de segurança ficam com a empresa de pagamentos.
- Uso e segurança: registros de acesso (data, hora, IP e navegador), histórico de alterações (quem mudou o quê e quando) e as inscrições para notificações push.
Clientes dos restaurantes
- Pedido: itens, observações, mesa, valores e forma de pagamento.
- Contato e entrega, quando informados: nome, celular, e-mail e endereço de entrega.
- Nota fiscal, quando pedida: CPF ou CNPJ na nota.
- Cadastro feito pelo restaurante: data de aniversário, anotações e se a pessoa aceitou receber ofertas (com data e origem do aceite).
- Avaliações deixadas sobre o pedido.
Visitantes do site
Dados técnicos de acesso (IP, navegador, páginas visitadas) registrados pela hospedagem para segurança e funcionamento.
3.Para que usamos e com qual base legal
| Finalidade | Dados | Base legal (LGPD) |
|---|---|---|
| Criar e manter a conta, prestar o serviço contratado | Conta, restaurante, uso | Execução de contrato (art. 7º, V) |
| Cobrar a assinatura e emitir os documentos da cobrança | Assinatura, restaurante | Execução de contrato e obrigação legal (art. 7º, V e II) |
| Segurança, prevenção a fraudes e auditoria | Uso e segurança | Legítimo interesse (art. 7º, IX) e proteção do crédito (art. 7º, X) |
| Avisos sobre a conta, cobranças e mudanças no serviço | Conta | Execução de contrato (art. 7º, V) |
| Novidades e ofertas do próprio MesaQR | E-mail e celular | Legítimo interesse, com opção de sair a qualquer momento (art. 7º, IX) |
| Cumprir obrigações legais, fiscais e ordens de autoridades | Os necessários em cada caso | Obrigação legal (art. 7º, II) e exercício regular de direitos (art. 7º, VI) |
| Dados dos clientes dos restaurantes | Pedido, contato, entrega, nota | Definida pelo restaurante, que é o controlador. Nós só tratamos para prestar o serviço a ele. |
4.Com quem compartilhamos
Não vendemos dados pessoais. Compartilhamos só o necessário com fornecedores que nos ajudam a prestar o serviço, sob contrato e com obrigações de segurança e sigilo:
| Fornecedor | Para quê | Onde |
|---|---|---|
| Supabase | Banco de dados, login e armazenamento de arquivos | Estados Unidos |
| Vercel | Hospedagem do site e do painel | Estados Unidos |
| Anthropic | Sugestões de inteligência artificial (recebe dados do cardápio, vendas e textos das avaliações) | Estados Unidos |
| Empresa de pagamentos da assinatura | Cobrança por cartão, Pix ou boleto | Brasil |
| Resend | Envio de e-mails da conta | Estados Unidos |
| Serviços de notificação dos navegadores (Google, Apple, Mozilla) | Entrega das notificações push | Varia |
Quando o restaurante conecta uma integração, os dados necessários seguem para o serviço escolhido por ele: o emissor de NFC-e e a SEFAZ (dados da nota), o iFood (pedidos, cardápio e status) e o WhatsApp (mensagens de atendimento enviadas pelo número do restaurante).
Também podemos fornecer dados a autoridades quando a lei ou uma ordem judicial exigir, ou para defender nossos direitos.
5.Transferência internacional
Parte da nossa infraestrutura fica nos Estados Unidos, então alguns dados são transferidos para fora do Brasil. Fazemos isso com fornecedores que oferecem garantias de proteção compatíveis com a LGPD, como cláusulas contratuais de proteção de dados, conforme o art. 33 da LGPD e a regulamentação da ANPD.
7.Por quanto tempo guardamos
Guardamos os dados enquanto a conta estiver ativa e pelo tempo necessário para as finalidades acima. Alguns dados técnicos são apagados automaticamente antes:
| Dado | Apagado depois de |
|---|---|
| Contadores contra abuso | 1 dia |
| Códigos de verificação e de pareamento não usados | 1 dia depois de expirar |
| Fila de impressão | 30 dias |
| Avisos do painel já lidos | 90 dias |
| Qualquer aviso do painel | 180 dias |
Quando o Dono pede a exclusão do restaurante, há uma carência de 7 dias para arrependimento. Depois disso, os dados, o histórico de alterações e os arquivos (fotos, logo e certificado) são apagados de forma definitiva. As cópias de segurança do banco são sobrescritas no ciclo normal de backup, em até 30 dias.
Mantemos por mais tempo só o que a lei obriga, como documentos de cobrança da assinatura (prazos fiscais de até 5 anos) e registros de acesso (6 meses, conforme o Marco Civil da Internet).
8.Como protegemos os dados
- Conexão criptografada (HTTPS) em todo o site e o painel.
- Isolamento por restaurante no próprio banco de dados: cada equipe só enxerga os dados do seu restaurante, de acordo com a função de cada pessoa.
- Senhas, tokens de integração e certificados guardados com criptografia; segredos nunca saem nas exportações.
- Verificação em duas etapas e histórico de alterações para cada restaurante.
- Acesso interno aos dados só quando necessário para suporte ou segurança.
9.Seus direitos
Pela LGPD (art. 18), você pode pedir:
- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, errados ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
- portabilidade dos dados;
- informação sobre com quem compartilhamos;
- revogação do consentimento, quando ele for a base legal, e informação sobre as consequências de não dar consentimento;
- revisão de decisões tomadas só de forma automatizada.
Usuários do painel podem fazer boa parte disso sozinhos: editar dados em Meu perfil, usar “Exportar meus dados” e, se forem Donos, “Baixar cópia dos dados” e “Excluir restaurante” em Configurações › Dados e privacidade. Para o resto, escreva para privacidade@mesaqr.com.br.
Clientes dos restaurantes devem procurar primeiro o restaurante, que é o controlador. Se você escrever para nós, encaminhamos o pedido ao restaurante e ajudamos no que for preciso.
Respondemos em até 15 dias. Se achar que seu pedido não foi atendido, você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD).
10.Crianças e adolescentes
O painel é só para maiores de 18 anos. Não coletamos de propósito dados de crianças. Se um restaurante cadastrar dados de menores, precisa seguir as regras do art. 14 da LGPD.
11.Encarregado de dados (DPO)
Nosso encarregado pelo tratamento de dados pessoais é [Nome do encarregado a preencher], pelo e-mail privacidade@mesaqr.com.br. Mais detalhes sobre a LGPD no MesaQR estão na página LGPD.
12.Mudanças nesta política
Podemos atualizar esta política. A data da versão em vigor fica no topo da página, e mudanças relevantes são avisadas por e-mail ou no painel. Veja também os Termos de uso.