Política de Privacidade

1. Quem somos

O NetBuffet é um sistema de gestão desenvolvido e operado pela NetBuffet Tecnologia Ltda, inscrita no CNPJ sob o número 67.580.914/0001-40, doravante denominada "NetBuffet", "nós" ou "nosso".

Como controladora de dados nos termos da Lei Geral de Proteção de Dados (Lei n. 13.709/2018 - LGPD), somos responsáveis pelas decisões sobre o tratamento dos dados pessoais coletados em nossa plataforma.

Esta Política de Privacidade descreve como coletamos, usamos, compartilhamos e protegemos as informações dos usuários e dos titulares de dados que interagem com o NetBuffet.

2. Dados que coletamos

Coletamos diferentes categorias de dados dependendo de como você utiliza a plataforma:

Dados de cadastro e conta

• Nome completo, endereço de e-mail e telefone
• CNPJ ou CPF da empresa contratante
• Senha (armazenada com hash bcrypt - nunca em texto claro)
• Logotipo e informações do estabelecimento

Dados operacionais

• Informações de eventos: datas, locais, tipos de evento, equipe alocada
• Dados de clientes do buffet: nome, CPF, CNPJ, telefone, endereço
• Contratos, propostas e histórico financeiro
• Cardápios, estoque e produtos cadastrados

Dados de convidados

• Nome e dados para emissão de convite
• Dados biométricos (encoding facial) quando o check-in via Face ID é habilitado pelo buffet - coletados mediante consentimento explícito do convidado
• Registro de check-in via QR Code ou reconhecimento facial

Dados de pagamento

• Processamento via Asaas - não armazenamos dados de cartão diretamente
• Histórico de cobranças, status de pagamento e identificadores de transação

Dados técnicos e de uso

• Endereço IP, tipo de navegador e sistema operacional
• Logs de acesso e atividades (auditoria interna)
• Preferências de interface armazenadas em localStorage
• Tokens de sessão em cookies httpOnly (não acessíveis por JavaScript)

3. Como usamos os dados

Utilizamos os dados coletados para as seguintes finalidades:

• Prestação do serviço: criar e gerenciar sua conta, processar eventos, contratos e operações do buffet
• Autenticação e segurança: verificar sua identidade e proteger o acesso à plataforma
• Comunicação: enviar notificações transacionais por e-mail e, quando habilitado, mensagens via WhatsApp
• Cobrança: processar pagamentos e emitir cobranças via Asaas
• Suporte: responder dúvidas, resolver problemas técnicos e melhorar o serviço
• Obrigações legais: cumprir exigências regulatórias e fiscais aplicáveis
• Melhoria do produto: análise de uso agregada e anonimizada para aprimorar funcionalidades

Não utilizamos seus dados para publicidade de terceiros nem vendemos informações pessoais a ninguém.

4. Base legal (LGPD)

Todo tratamento de dados realizado pelo NetBuffet possui base legal nos termos do art. 7 da LGPD:

• Execução de contrato (inciso V): dados necessários para a prestação do serviço contratado, como cadastro, eventos e financeiro
• Consentimento (inciso I): dados biométricos de convidados para check-in via Face ID - sempre com autorização explícita e revogável
• Legítimo interesse (inciso IX): logs de auditoria, segurança da plataforma e prevenção a fraudes, nos limites do que é necessário e proporcional
• Cumprimento de obrigação legal (inciso II): dados fiscais e contábeis exigidos por legislação tributária

5. Compartilhamento com terceiros

Compartilhamos dados apenas com parceiros essenciais para a operação da plataforma, todos comprometidos contratualmente com a proteção de dados:

• Amazon Web Services (AWS): infraestrutura de hospedagem, banco de dados Aurora PostgreSQL e armazenamento de arquivos (S3). Dados armazenados em regiões americanas com isolamento por tenant.
• Asaas: processador de pagamentos brasileiro para gestão de cobranças e subcontas financeiras dos buffets.
• Meta / WhatsApp Cloud API: envio de mensagens transacionais quando o módulo de WhatsApp é habilitado pelo buffet.
• ClickSign: plataforma de assinatura eletrônica de contratos, quando habilitada pelo buffet.
• OpenAI: processamento de linguagem natural para funcionalidades de IA, quando habilitadas pelo buffet. Dados enviados de forma minimizada e sem identificação desnecessária.

Autoridades públicas e reguladores podem receber dados quando exigido por ordem judicial ou obrigação legal, conforme o art. 7, inciso II, da LGPD.

6. Retenção e exclusão

Mantemos seus dados pelo tempo necessário para a prestação do serviço e cumprimento de obrigações legais:

• Conta ativa: dados mantidos durante toda a vigência do contrato de uso
• Após cancelamento: dados operacionais mantidos por 5 anos para fins fiscais e legais, conforme exigido pela legislação brasileira
• Dados biométricos: excluídos em até 90 dias após o evento relacionado ou mediante solicitação imediata do titular
• Logs de auditoria: retidos por 12 meses para segurança e rastreabilidade

Para solicitar a exclusão antecipada dos seus dados, entre em contato com privacidade@netbuffet.com.br. Responderemos em até 15 dias úteis.

7. Seus direitos como titular

Nos termos dos arts. 17 a 22 da LGPD, você tem os seguintes direitos sobre seus dados pessoais:

• Acesso: confirmar se tratamos seus dados e obter uma cópia
• Correção: solicitar a atualização de dados incompletos, inexatos ou desatualizados
• Anonimização ou eliminação: quando os dados forem desnecessários ou tratados em desconformidade
• Portabilidade: receber seus dados em formato estruturado para transferência a outro fornecedor
• Revogação do consentimento: retirar o consentimento dado a qualquer momento, sem prejuízo ao tratamento já realizado
• Oposição: manifestar oposição ao tratamento realizado com base em legítimo interesse
• Informação sobre compartilhamento: saber com quais entidades públicas e privadas compartilhamos seus dados
• Petição à ANPD: registrar reclamação junto à Autoridade Nacional de Proteção de Dados

Para exercer qualquer um desses direitos, envie sua solicitação para privacidade@netbuffet.com.br.

8. Segurança dos dados

Adotamos medidas técnicas e organizacionais para proteger seus dados contra acesso não autorizado, perda, alteração ou divulgação indevida:

• Autenticação via tokens JWT em cookies httpOnly com rotação automática (access token 15 min, refresh token 7 dias)
• Comunicação cifrada via SSL/TLS em todos os endpoints
• Banco de dados Aurora PostgreSQL com isolamento por tenant (row-level security)
• Arquivos armazenados em S3 com acesso privado e URLs assinadas
• Logs de auditoria imutáveis para todas as operações de escrita
• Credenciais e segredos gerenciados via AWS Secrets Manager

Em caso de incidente de segurança que possa afetar seus direitos, notificaremos a ANPD e os titulares afetados nos prazos previstos pela LGPD.

9. Contato e Encarregado de Dados (DPO)

Para dúvidas, exercício de direitos ou qualquer comunicação relacionada ao tratamento de dados pessoais, utilize o e-mail acima. É o canal oficial e monitorado pelo Encarregado de Proteção de Dados do NetBuffet.

Esta política pode ser atualizada periodicamente. Alterações relevantes serão comunicadas por e-mail ou notificação dentro da plataforma com antecedência mínima de 30 dias.