Política de Privacidade

Existem dois papéis diferentes nesta história, e a Lei Geral de Proteção de Dados (Lei 13.709/2018) trata cada um de um jeito.

O restaurante que usa o Allô Chef é o controlador dos dados dos seus clientes: é ele quem decide vender, entregar e guardar o histórico de quem comprou.

O Allô Chef é o operador: tratamos esses dados por conta e ordem do restaurante, apenas para fazer o sistema funcionar. Não vendemos, não alugamos e não cedemos dados de clientes para terceiros, nem usamos a base de um restaurante para beneficiar outro.

O Allô Chef é o controlador dos dados de quem contrata e opera o sistema (o dono e a equipe do restaurante), da Comunidade, do registro de segurança e de quem se cadastra pelo nosso site.

Nada de coleta oculta. O que entra é o que o funcionamento exige:

• Do restaurante: razão social, CNPJ, endereço, horários de funcionamento, cardápio, preços e configurações fiscais. Quando o restaurante emite nota direto pelo Allô Chef, também o certificado digital A1 da empresa e a senha dele (o certificado traz o nome e o CPF do responsável): guardados cifrados, separados um do outro, abertos só no servidor na hora de assinar cada nota, e apagados quando o restaurante pedir.
• Da equipe: nome, função, praça e PIN de acesso; de quem entra com senha ou por convite, também o e-mail. O PIN e a senha são guardados de forma irreversível: nem nós conseguimos lê-los. Nos checklists da casa (abertura, fechamento, limpeza e os que o restaurante criar), guardamos o nome de quem marcou cada item e a hora, para a casa saber quem conferiu o quê.
• Do uso do sistema pela equipe: em qual tela e em qual botão cada pessoa tocou, e quando. Nunca o que foi digitado, e nas telas que mostram clientes (conversas, clientes, pedidos, entregas) não guardamos o texto do botão, que costuma ser o nome do cliente. Serve para o suporte entender o que aconteceu e para melhorarmos as telas mais usadas.
• Dos pedidos: itens, valores, forma de pagamento, horários de cada etapa e canal de origem. Dos pedidos que chegam das plataformas de entrega, guardamos também o conteúdo que a plataforma enviou.
• Do cliente final, quando ele pede pelo restaurante ou a plataforma de entrega nos envia: nome, telefone, e-mail, data de nascimento (quando a plataforma envia), endereço de entrega e a localização dele no mapa, o CPF quando ele pede na nota fiscal, e o histórico de compras naquele restaurante. No cardápio do restaurante com frete grátis por distância, ou quando o cliente usa um cupom que vale só para quem mora perto da loja, o ponto da casa do cliente no mapa (achado pelo endereço, ou marcado por ele no mapa ou pela localização do celular, só quando ele toca no botão e permite) serve para medir a distância até a loja e fica guardado no pedido. Quando o restaurante importa a base de clientes de outra plataforma por planilha, guardamos o nome, o telefone, o e-mail, a data de nascimento, os pontos de fidelidade e o histórico de compras dessa planilha (quantos pedidos, quanto gastou, primeira e última compra). A planilha é lida no navegador de quem importa e não fica guardada; quem não tem telefone na planilha não é importado. O dono e o gerente do restaurante podem baixar a lista dos clientes daquele restaurante numa planilha (nome, telefone, e-mail, aniversário, histórico de compras e se o cliente pediu para não receber campanhas); cada download fica registrado com quem baixou e quantos clientes levou, e o arquivo baixado passa a ser responsabilidade do restaurante.
• Dos entregadores cadastrados pelo restaurante: nome, telefone, veículo e as rotas que fizeram. Se o restaurante quiser (é opcional), também CPF, número e validade da CNH, placa da moto, foto do rosto e foto da CNH; as fotos ficam guardadas de forma privada e só o dono e o gerente do restaurante as veem. Ao entregar, o entregador digita os 4 últimos números do celular do cliente, e cada tentativa (certa ou errada) fica registrada para a segurança da entrega. Quando o entregador abre o link da rota no celular e permite, também a localização dele (posição, direção e velocidade) enquanto aquela tela está aberta e a rota está na rua. O restaurante vê essa posição no mapa de entregas; ela para de ser enviada quando a rota termina. O cliente cuja entrega é a PRÓXIMA da rota também vê essa posição na página de acompanhamento do pedido dele, junto com a distância até a casa dele, até receber; o nome do entregador não aparece, e os outros clientes da rota nunca a veem. O link da rota mostra ao entregador só as paradas dela: nome, telefone e endereço de quem recebe, e o que cobrar.
• Mensagens de WhatsApp trocadas entre o cliente e o restaurante, e as campanhas que o restaurante envia, quando o número é conectado ao sistema. Quando o restaurante conecta o próprio WhatsApp pelo QR code (canal que não é da Meta), as campanhas saem desse número por um programa nosso que mantém a conexão. Esse programa também repassa ao sistema as conversas do número com pessoas (nunca grupos), a partir da conexão: o texto das mensagens fica guardado cifrado e aparece na tela de Conversas do restaurante, e as respostas escritas lá saem pelo mesmo número. Foto, áudio, vídeo e documento de até 16 MB ficam guardados de forma privada para o restaurante abrir na tela (por link que vale poucos minutos), junto com o nome e a foto de perfil do contato no WhatsApp. Quem responde "SAIR" a uma campanha deixa de receber campanhas do restaurante. As credenciais do número ficam só nesse programa.
• Cupons: o telefone de quem usou e uma versão embaralhada do CPF, que serve só para impedir uso repetido sem guardar o CPF.
• Avaliações públicas do Google e do iFood sobre o restaurante: nome de quem avaliou, nota e texto.
• Comunidade: o nome, a função, o restaurante e a cidade de quem escreve, e as mensagens. Isso fica visível para donos e gerentes de outros restaurantes que usam o Allô Chef, que é a razão de a Comunidade existir.
• Registro de segurança: quem entrou no sistema e quem fez ações importantes (cancelar pedido, mexer no caixa, na equipe, no plano ou nas integrações), quando, de qual endereço de internet (IP), de qual cidade aproximada e de qual aparelho e navegador. Nas tentativas de entrada erradas, o e-mail digitado.
• Pesquisa de opinião sobre o Allô Chef: quando alguém do restaurante responde, guardamos a resposta (as notas, o que faltou e o comentário) com o nome, a função e o restaurante de quem respondeu, e por onde respondeu (pelo app ou pelo link do e-mail). Quem lê é só a equipe do Allô Chef: o dono do restaurante não vê o que a equipe escreveu. Para escolher as perguntas, o sistema olha quais funcionalidades a casa já usou (se já lançou pedido, emitiu nota, usou a cozinha), sem ler o conteúdo dos pedidos. Responder é opcional.
• Métricas de anúncios das contas de Meta e Google que o restaurante conectar: números agregados de investimento e resultado, não dados pessoais de quem viu o anúncio.
• De quem se cadastra pelo site: nome, nome do restaurante, e-mail e WhatsApp. No pedido de demonstração, também a cidade, o tipo de operação e a dificuldade que a pessoa contar, enviados por e-mail à equipe comercial.

Não usamos cookies de publicidade nem rastreadores de terceiros. Os cookies do sistema são todos de funcionamento: o de sessão, que mantém a pessoa logada no turno; o que liga o aparelho ao restaurante, para a equipe entrar pelo PIN; o da preferência de tema claro ou escuro; e cookies temporários do serviço de autenticação durante a entrada com senha.

• Execução do contrato: receber o pedido, mandar para a cozinha, montar a rota, acompanhar a entrega, cobrar e dar acesso à equipe.
• Obrigação legal: emitir e guardar documentos fiscais, com os prazos que a legislação tributária exige.
• Legítimo interesse: segurança do acesso e o registro de segurança, o registro do uso das telas pela equipe, prevenção a fraude (inclusive em cupons), os relatórios de desempenho do próprio restaurante, a resposta a avaliações, o assistente de IA do restaurante e a pesquisa de opinião, que serve para melhorar o próprio Allô Chef.
• Consentimento: campanhas e mensagens de marketing por WhatsApp. Quem colhe esse consentimento é o restaurante, que é quem envia.
• Pedido do próprio titular: o cadastro pelo nosso site, para criar a conta e entrar em contato.

Só com quem faz parte da operação, e sempre no mínimo necessário. Cada serviço abaixo recebe apenas o pedaço de que precisa:

• Supabase: banco de dados, em São Paulo.
• Vercel: hospedagem da aplicação. O servidor fica em São Paulo; a empresa e os registros técnicos de acesso ficam nos Estados Unidos.
• iFood, 99Food, Keeta e Cardápio Web: de onde os pedidos chegam e para onde o andamento volta; o iFood também traz as avaliações. Da 99Food e da Keeta guardamos no pedido o nome do cliente e o endereço de entrega; o telefone e o documento ficam só no conteúdo que a plataforma enviou e não viram cadastro de cliente.
• Yuria (Yuria AI, a empresa que faz o Allô Chef): a ponte com o WhatsApp oficial, quando o restaurante conecta o número. As mensagens, o telefone e o nome do cliente e o texto dos avisos passam por ela a caminho da Meta e de volta, e ela não os usa para nenhum outro fim.
• Meta: mensagens e campanhas de WhatsApp (por meio da Yuria) e métricas de anúncios, quando conectados pelo restaurante.
• Google: avaliações e métricas de anúncios, quando conectados.
• Secretaria da Fazenda do estado (SEFAZ): recebe a nota fiscal eletrônica, com o nome e o CPF ou CNPJ do consumidor quando informados. É obrigação legal da venda, e a nota vai direto do Allô Chef para a SEFAZ, sem intermediário.
• Anthropic: o assistente de IA e de voz do restaurante e a sugestão de resposta a avaliações. Recebe a pergunta, um resumo da casa que inclui o nome dos clientes que mais compraram e dos pedidos recentes, e o nome e o texto de quem avaliou. Não recebe telefone, e-mail nem endereço, e o que recebe não é usado para treinar modelos.
• ElevenLabs: síntese da voz do assistente. Recebe o texto da resposta falada, que pode citar o nome de um cliente.
• Resend: envio dos e-mails do sistema (ativação de conta, convite, nova senha, contato de quem se cadastra e o convite da pesquisa de opinião, que vai só ao dono do restaurante, com o nome dele e da casa).
• OpenStreetMap: quando a plataforma não manda a localização da entrega, ou quando o cardápio precisa medir a distância do frete grátis, o texto do endereço (rua, número, bairro e CEP, sem nome nem telefone) vai para o mapa aberto, que devolve o ponto no mapa. No cardápio, o mapa em que o cliente marca onde mora também carrega os desenhos do OpenStreetMap, que vê o endereço de internet de quem abre. BrasilAPI: o CEP digitado vai para ela, que devolve a rua e o bairro.
• FOSSGIS e Project OSRM (serviços de rotas do OpenStreetMap): para traçar o caminho pela rua no celular do entregador, recebem a posição dele e o ponto da próxima parada, sem nome, telefone nem pedido. OpenFreeMap entrega os desenhos do mapa desse celular e, como todo site, vê o endereço de internet de quem pede.
• Mercado Pago: o valor da cobrança na maquininha, quando o restaurante configura. Nenhum dado de cartão passa pelo Allô Chef.
• Mercado Pago e Asaas (Pix na hora): quando o restaurante liga uma dessas contas para receber o Pix do cardápio, a cobrança é criada na conta DELE com o valor, o número do pedido e o nome da casa. No Asaas vão também o nome e o CPF de quem paga, que ele exige para gerar o Pix. O dinheiro vai direto para a conta do restaurante; o Allô Chef não recebe nem guarda dinheiro, e só fica sabendo se o pagamento foi feito.

Dados fora do Brasil. Vercel, Anthropic, ElevenLabs, Yuria, Meta, Google, Resend, OpenStreetMap, BrasilAPI, FOSSGIS, Project OSRM e OpenFreeMap processam dados fora do país, principalmente nos Estados Unidos e na Europa. A transferência é feita porque é necessária para o serviço funcionar, e cada um recebe só o pedaço descrito acima.

Também entregamos dados quando houver ordem judicial ou requisição de autoridade competente. Nesse caso, avisamos o restaurante, salvo se a lei proibir.

• Tráfego sempre por HTTPS.
• Isolamento por restaurante em cada consulta, e o banco recusa leitura e escrita de quem não é o próprio sistema.
• Chaves e tokens de integração guardados cifrados com AES-256-GCM.
• O texto das mensagens de WhatsApp entre o cliente e o restaurante guardado cifrado com AES-256-GCM, aberto só no servidor para quem atende as conversas (dono e gerente). Cada conversa aberta fica no registro de segurança.
• PIN e senha guardados de forma irreversível, nunca em texto puro.
• Acesso por função: quem está na cozinha não abre o financeiro.
• Registro de segurança de quem entrou e do que foi feito, que ninguém consegue alterar.
• Revisões de segurança do sistema e do banco, a mais recente em outubro de 2026.

Nenhum sistema é imune. Se houver incidente de segurança com risco relevante, avisamos os restaurantes afetados e a ANPD nos prazos da lei.

• Pedidos, clientes e histórico de vendas: enquanto o restaurante for cliente, porque é o que sustenta os relatórios dele.
• Documentos fiscais: pelo prazo da legislação tributária, que pode passar de cinco anos.
• Mensagens de WhatsApp: enquanto a integração estiver ativa.
• Registro de segurança: 90 dias, e então é apagado automaticamente.
• Uso das telas pela equipe (tela, botão e hora): 90 dias, e então é apagado automaticamente.
• Erros técnicos do sistema: 30 dias, no mesmo banco em São Paulo, sem endereço de internet (IP). Antes de gravar, o sistema troca por marcadores telefones, CPF, CNPJ, e-mails, endereços, números longos, senhas e chaves, e não guarda a linha de dados que o banco recusou; depois de 30 dias, são apagados automaticamente.
• Trajeto do entregador (as posições ao longo da rota): 7 dias, e então é apagado automaticamente. Fica só a última posição de cada rota.
• Link da rota do entregador: deixa de abrir 12 horas depois de a rota terminar.
• Respostas da pesquisa de opinião: enquanto o restaurante for cliente, ou até quem respondeu pedir a exclusão. O link da pesquisa enviado por e-mail serve para uma resposta e deixa de abrir no prazo escrito no próprio e-mail.
• Pessoas desligadas da equipe: o cadastro fica inativo, sem acesso ao sistema.
• Mensagens apagadas na Comunidade deixam de aparecer para todos e podem ser excluídas de vez a pedido.
• Depois do encerramento do contrato, o restaurante pode pedir a exportação e a exclusão dos dados; concluímos em até 30 dias do pedido, exceto o que a lei mandar guardar.

A LGPD garante a qualquer pessoa o direito de confirmar o tratamento, acessar, corrigir, anonimizar, portar ou eliminar seus dados, e de revogar consentimento.

Se você é cliente de um restaurante que usa o Allô Chef, o caminho mais rápido é falar com o próprio restaurante, que é o controlador. Se preferir, escreva para nós e nós encaminhamos e acompanhamos.

Mande um e-mail para gsouza607@gmail.com com o assunto “Exclusão de dados” e informe o nome do restaurante e o telefone ou e-mail usado no pedido.

• Confirmamos o recebimento em até 2 dias úteis.
• Concluímos a exclusão em até 15 dias.
• O que a lei fiscal obriga a manter fica retido apenas para esse fim, sem uso comercial, e é apagado ao fim do prazo legal.

Restaurantes que conectaram o WhatsApp podem desconectar a integração a qualquer momento dentro do próprio Allô Chef, em Integrações. Ao desconectar, o Allô Chef para de receber e de enviar mensagens pelo número na hora. O Allô Chef não guarda nenhuma chave da Meta: quem fala com ela é a Yuria.

O Allô Chef é uma ferramenta de trabalho, destinada a maiores de 18 anos. Não coletamos dados de crianças de forma consciente. Se identificarmos, apagamos.

Esta página acompanha o sistema: quando algo muda no que coletamos, com quem compartilhamos ou por quanto tempo guardamos, ela muda junto e a data no topo é atualizada. Mudança que amplie o uso dos dados é avisada aos restaurantes dentro do sistema.

Encarregado de dados (DPO) e canal de privacidade: gsouza607@gmail.com.