Política de Privacidade

O AssumarFlow é um sistema SaaS de gestão para restaurantes, espetarias, bares e estabelecimentos similares. É operado pelo empreendedor individual Alexandre Mariano, localizado em Belo Horizonte/MG, Brasil. Quando o CNPJ for constituído, esta seção será atualizada com a razão social completa.

Para fins da LGPD, somos o Controlador dos dados pessoais coletados por meio dos sites e aplicativos:

• assumarflow.com.br (landing page e captação de leads)
• admin.assumarflow.com.br (painel administrativo dos estabelecimentos)
• cardapio.assumarflow.com.br (cardápio digital aberto ao consumidor final)

Em cumprimento ao art. 41 da LGPD, indicamos o seguinte canal direto para qualquer assunto relacionado a privacidade, tratamento de dados ou exercício dos seus direitos:

E-mail do Encarregado: contato.assumarflow@hotmail.com

Respondemos solicitações em até 15 dias corridos.

Coletamos apenas o mínimo necessário para entregar o serviço e cumprir obrigações legais. Os dados variam conforme seu papel:

• Executar o contrato: dar acesso ao painel, processar pedidos, gerar cobranças, prestar suporte.
• Cumprir obrigações legais e regulatórias: guardar registros fiscais por 5 anos, atender determinações do Banco Central via Asaas, responder ordens judiciais.
• Identificar o consumidor no restaurante: vincular o pedido à comanda da mesa, comunicar quando o pedido está pronto.
• Marketing e captação (legítimo interesse): responder leads da landing, enviar comunicações sobre o produto. Você pode descadastrar a qualquer momento.
• Segurança e prevenção a fraude: identificar tentativas de acesso indevido, autenticar usuários, registrar logs de login.
• Melhorar o produto: análise agregada de uso (volumes, métricas operacionais).

A LGPD exige uma base legal específica para cada tratamento. Resumimos abaixo:

Compartilhamos dados apenas com operadores estritamente necessários à entrega do serviço. Cada operador tem contrato com cláusulas LGPD (DPA):

• Asaas (CNPJ 19.540.550/0001-21) — instituição de pagamento regulada pelo Banco Central. Recebe nome, CPF/CNPJ, e-mail, telefone do responsável financeiro pra emitir cobranças PIX/cartão/boleto.
• Supabase (EUA, com região de processamento em São Paulo) — banco de dados e storage de imagens.
• Fly.io (EUA, com processamento em GRU/SP) — hospedagem da API.
• Vercel (EUA, com CDN global) — hospedagem dos frontends (landing, admin, cardápio).
• Resend (EUA) — envio de e-mails transacionais (recuperar senha, magic-link, notificações).
• Google e Microsoft — quando você opta por login social, esses provedores compartilham conosco apenas seu e-mail e nome.
• Google Analytics (Google LLC, EUA) — quando você consente no banner de cookies, coletamos métricas agregadas de navegação (páginas visitadas, dispositivo, localização aproximada) para entender como o site é usado. Você pode revogar a qualquer momento limpando seu consentimento no banner.

Não vendemos seus dados. Não compartilhamos com terceiros para fins de marketing fora do AssumarFlow.

Alguns operadores podem processar dados em servidores fora do Brasil. Em todos os casos, garantimos que a transferência segue uma das hipóteses do art. 33 da LGPD:

Os contratos com cada operador (DPAs) incluem cláusulas-padrão contratuais (Standard Contractual Clauses) e, quando aplicável, o UK IDTA, conforme exigido pelo art. 33 VIII LGPD.

• Conta de admin/funcionário ativa: enquanto a conta existir. Após exclusão, mantemos os dados por mais 90 dias para auditoria, depois anonimizamos.
• Dados fiscais e financeiros (pedidos, faturas): 5 anos a partir do encerramento da relação contratual (obrigação legal).
• Cliente final do restaurante: 5 anos a partir do último pedido; após esse prazo anonimizamos (nome, telefone e CPF viram nulos, histórico fica vinculado a “Cliente anônimo”).
• Leads da landing não convertidos: 2 anos a partir do último contato; depois eliminamos.
• Logs de acesso/segurança: 6 meses (Marco Civil exige no mínimo 6 meses; mantemos esse prazo).

Você pode, a qualquer momento, solicitar:

• Confirmar se tratamos seus dados;
• Acessar e obter cópia dos seus dados;
• Corrigir dados incompletos, inexatos ou desatualizados;
• Anonimizar, bloquear ou eliminar dados desnecessários;
• Portabilidade — exportar seus dados em formato estruturado;
• Eliminar dados tratados com base em consentimento (quando aplicável);
• Informações sobre com quem compartilhamos seus dados;
• Revogar o consentimento;
• Revisão de decisões automatizadas (caso existam — hoje o AssumarFlow não toma decisões automatizadas que afetem você juridicamente).

Para exercer qualquer um desses direitos, envie um e-mail para contato.assumarflow@hotmail.com. Em breve disponibilizaremos também um formulário em /lgpd.

Usamos os seguintes tipos de cookies:

• Essenciais — sessão de login (JWT), preferência de idioma e tema. Sem eles o site não funciona. Não dependem de consentimento (art. 7º V LGPD — execução do contrato).
• Funcionais — lembrar a empresa ativa para super-administradores, dimensionamento de gráficos. Também essenciais para a experiência.
• Análise (Google Analytics) — só são carregados depois que você clica em Aceitar todos ou habilita análise no banner de cookies. Coletam métricas agregadas (páginas visitadas, dispositivo, localização aproximada por cidade). O IP é anonimizado antes de chegar ao Google. Você pode revogar o consentimento a qualquer momento: basta limpar o localStorage do navegador, e o banner reaparecerá.

Não utilizamos cookies de publicidade, fingerprinting ou rastreamento entre sites. Não compartilhamos dados de cookies com plataformas de anúncio.

Adotamos medidas técnicas e administrativas para proteger seus dados, incluindo:

• HTTPS/TLS em todas as comunicações;
• Senhas armazenadas com hash bcrypt;
• Autenticação JWT com refresh token e revogação;
• Rate limiting nas tentativas de login;
• Criptografia em repouso (Supabase, padrão da plataforma);
• Controle de acesso por papel (RBAC) — super-admin, admin, balconista, garçom;
• Backups diários automáticos;
• Multi-tenant isolation — cada empresa só vê seus dados;
• Logs de auditoria em ações sensíveis.

Nenhum sistema é 100% seguro. Se identificarmos um incidente que gere risco relevante aos titulares, comunicaremos a ANPD e os titulares afetados no prazo razoável (art. 48 LGPD).

O AssumarFlow não é direcionado a menores de 18 anos. O cardápio público do restaurante pode ser eventualmente usado por um adolescente acompanhado, mas o tratamento de dados é incidental e voltado à entrega do pedido. Se você é responsável e identificou coleta indevida, entre em contato pelo e-mail do encarregado para que possamos eliminar os dados.

Esta política pode ser atualizada para refletir mudanças na legislação, no serviço ou nos operadores envolvidos. Quando houver alteração relevante, comunicaremos pelos canais usuais (e-mail, banner no painel) e pediremos novo aceite, se for o caso. A versão e a data desta política sempre constam no topo.

Caso julgue que algum direito seu não foi respeitado, você pode registrar reclamação direta à Autoridade Nacional de Proteção de Dados:

• Site: gov.br/anpd
• Endereço: Esplanada dos Ministérios, Bloco C, 2º andar, Brasília/DF.

Pedimos, antes disso, que tente resolver conosco pelo e-mail do encarregado — costumamos responder com agilidade.

Para dúvidas sobre esta política ou sobre o tratamento dos seus dados:

Encarregado (DPO): contato.assumarflow@hotmail.com