Política de Privacidade

1. Quem é responsável pelos seus dados

A KuKA é operada por Vírgula Majestosa Unipessoal, Lda, NIPC 519131410, com sede em Largo República da Turquia 6, Lumiar, Lisboa, Portugal ("KuKA", "nós").

Contato para qualquer assunto de privacidade: support@getkuka.com.

Nosso papel depende da situação:

• Controlador dos dados dos visitantes dos nossos sites, de quem pede a demonstração, dos clientes empresariais e seus administradores, dos dados de faturamento, dos logs de segurança e de operação e das estatísticas da página inicial.
• Operador dos dados que um restaurante ou rede (nosso cliente empresarial) insere na KuKA ou gera por meio dela sobre seus clientes de mesa, pedidos e equipe. Nesse caso, o restaurante é o controlador e nós agimos conforme suas instruções documentadas, nos termos do tratamento de dados da seção 10 dos Termos de Serviço para Parceiros.

Se você é cliente de mesa e tem dúvidas sobre seu pedido ou sua conta, fale primeiro com o restaurante.

2. Alcance desta política

Esta política abrange os sites da KuKA (getkuka.com, www.getkuka.com) e o aplicativo KuKA (app.getkuka.com), incluindo as páginas de cadastro e de demonstração, o backoffice, as telas da equipe e as páginas de cliente abertas por um código QR na mesa. A KuKA está disponível em inglês, português de Portugal, português do Brasil, francês, espanhol, holandês, alemão, italiano, chinês simplificado e japonês. As versões têm a mesma finalidade e o mesmo significado.

Ela não abrange sites ou serviços de terceiros para os quais indicamos ou que você acesse a partir da KuKA, como o Stripe Checkout. Nesses casos valem as políticas deles.

3. Quais dados coletamos

Visitantes dos nossos sites

• Dados técnicos enviados pelo navegador quando uma página é carregada: endereço IP, tipo de navegador e de dispositivo (user agent), endereço solicitado, data e hora. Nossos servidores e componentes de rede registram esses dados em logs operacionais.
• Estatísticas da página inicial: um identificador aleatório de visitante (guardado em um cookie), a variante de teste exibida (A ou B), o caminho da página, o site de origem, tags de campanha (utm_source, utm_medium, utm_campaign), cliques nos nossos principais botões de ação e se um pedido de demonstração foi enviado ou uma demonstração foi criada. Requisições que se identificam como robôs ou pré-visualizações de links não são registradas como visitas.
• Sua preferência de idioma e uma indicação aproximada do país fornecida pela nossa rede (cabeçalho CF-IPCountry), usada somente para escolher um idioma padrão.

Quem solicita uma demonstração

• Nome completo, endereço de email, nome do estabelecimento e senha (guardada somente em forma de hash).
• A data e a versão dos Termos para Parceiros que você aceitou e a caixa opcional "Quero acompanhar o crescimento da KuKA".
• Dados da própria demonstração: quando foi criada e quando expira, seu status, eventos de dados de exemplo e seu progresso no tour guiado do produto.

Clientes empresariais e seus administradores

• Dados da conta: nome, endereço de email, hash da senha, fuso horário, perfil e acesso a redes e restaurantes, status da conta, data de aceite dos Termos para Parceiros e status de confirmação do email.
• Dados do negócio: nomes da rede e dos restaurantes, cardápios, preços, imagens, mesas, turnos e configurações que você insere. Um número de identificação fiscal português (NIF) pode ser informado, opcionalmente, no cadastro.
• Dados de faturamento: referências de cliente e de assinatura na Stripe, status e datas da assinatura, nome, endereço, número de identificação fiscal e email de faturamento informados no Stripe Checkout, número da fatura, valores, linhas de IVA e status de emissão e de envio da fatura.
• Comunicações: emails transacionais (veja a seção 6) e mensagens que você enviar ao suporte.

Equipe dos restaurantes

• Dados da conta criada pelo seu empregador ou pelo administrador da rede: nome, endereço de email, hash da senha, perfil e restaurantes aos quais você tem acesso.
• Registros operacionais: ações que você realiza no aplicativo e que ficam associadas ao seu usuário, por exemplo quem fechou a conta de uma mesa.
• Registros de segurança: um log de auditoria de acessos com eventos administrativos (como acesso concedido ou revogado, criação de SuperAdmin, tokens de recuperação e abertura do console de observabilidade), incluindo os identificadores e emails do usuário que age e do usuário alvo, a rede ou o restaurante envolvido e o horário.

Clientes de mesa

• A KuKA não pede nome, email, telefone nem dados de cartão de pagamento.
• Um identificador aleatório de cliente (cookie), a mesa em que você fez check-in e quando, os itens do carrinho, seus pedidos (itens, quantidades, status, horário, pago ou não pago), a conta resultante e o cardápio ou a opção de preço fixo aplicável.
• Os dados de navegador e de rede descritos em "Visitantes".

4. Para que usamos os dados e com qual base legal

Quando nos baseamos em interesses legítimos, nós os ponderamos em relação aos seus direitos. Você pode se opor (veja a seção 11).

Não tomamos decisões sobre você baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos ou o afetem de forma significativa. O teste A/B só altera qual versão da página inicial você vê.

5. De onde vêm os dados

• De você, quando preenche um formulário, usa o aplicativo ou fala conosco.
• Do seu empregador ou do administrador da rede, que cria ou convida as contas da equipe.
• Do seu dispositivo e navegador, automaticamente, por meio de cookies e requisições ao servidor.
• Da Stripe, que nos informa o status de uma assinatura, os pagamentos e os dados de faturamento informados no checkout.
• Do restaurante, quanto a dados operacionais como cardápios, preços e configuração de mesas que se relacionam com os clientes.

6. Quem recebe os dados

Não vendemos dados pessoais. Só os compartilhamos na medida do necessário, com os destinatários abaixo.

Nossos administradores de plataforma (SuperAdmin) podem acessar a plataforma para prestar suporte e garantir a segurança. Esse acesso é limitado por perfil e as ações administrativas são registradas.

7. Transferências internacionais

Alguns dos destinatários acima, em especial a Stripe, a Resend, a Google e a Cloudflare, estão ou podem estar sediados nos Estados Unidos, ou acessar dados de lá. Quando dados pessoais saem do Espaço Econômico Europeu, nos baseamos em uma decisão de adequação da Comissão Europeia (por exemplo, o Quadro de Privacidade de Dados UE-EUA, para destinatários certificados) ou nas Cláusulas Contratuais-Padrão adotadas pela Comissão, acompanhadas de medidas suplementares quando necessário. A localização da nossa hospedagem consta da seção 6.

Você pode pedir uma cópia das garantias aplicáveis escrevendo para nós (seção 14).

8. Por quanto tempo guardamos os dados

Guardamos dados pessoais apenas pelo tempo necessário para a finalidade da coleta. Abaixo estão os prazos que conseguimos indicar com precisão. Para os demais, indicamos os critérios que aplicamos.

Terminado o prazo de retenção, os dados são excluídos ou anonimizados de forma irreversível. Dados necessários para constituir, exercer ou defender direitos em processos podem ser mantidos até a solução do caso.

9. Como protegemos os dados

Aplicamos medidas técnicas e organizacionais adequadas ao risco. Hoje existem no produto as seguintes medidas:

• Transporte criptografado: o site de produção é servido por HTTPS e envia o cabeçalho HTTP Strict Transport Security.
• As senhas são protegidas com o gerador de hash do ASP.NET Core Identity e nunca são guardadas nem devolvidas em texto simples. Os tokens de acesso à demonstração são guardados somente em forma de hash. Os links de redefinição de senha expiram em 1 hora.
• O cookie de sessão é HttpOnly e SameSite=Lax. Os formulários são protegidos contra falsificação de requisições entre sites (CSRF) com tokens antifalsificação.
• As chaves usadas para proteger cookies e tokens (ASP.NET Core Data Protection) ficam guardadas no servidor, separadas do banco de dados.
• O acesso é baseado em perfis e limitado às redes e aos restaurantes atribuídos a cada usuário. As alterações administrativas de acesso são gravadas em um log de auditoria.
• Nossa configuração de traces remove as instruções de banco de dados dos dados de rastreamento. O console de monitoramento só está disponível para administradores de plataforma autenticados.
• Os dados de cartão são inseridos nas páginas hospedadas pela Stripe, não na KuKA.

Nenhum sistema é totalmente seguro. Se uma violação de dados pessoais puder implicar risco para os seus direitos, notificaremos a CNPD em até 72 horas após tomar conhecimento e informaremos os titulares afetados quando a lei exigir (RGPD, arts. 33º e 34º).

10. Cookies e tecnologias semelhantes

Cookies são pequenos arquivos guardados no seu navegador. Usamos cookies e armazenamento do navegador somente conforme listado abaixo. Não usamos cookies de publicidade nem cookies de rastreamento de terceiros.

Cookies

Armazenamento do navegador

Recursos de terceiros

Nossas páginas carregam fontes e estilos de ícones da Google Fonts e da jsDelivr, e o script SignalR da cdnjs. Esses provedores recebem seu endereço IP e user agent quando o navegador solicita os arquivos. Não os usamos para publicidade nem para rastreamento.

Suas escolhas

Os cookies estritamente necessários não podem ser desativados sem prejudicar o serviço. Você pode bloquear ou apagar cookies nas configurações do navegador; se fizer isso, os dois cookies não essenciais deixam de ser usados para estatísticas, e o aplicativo pode pedir que você faça login novamente ou você pode perder o carrinho. Os cookies não essenciais listados acima se limitam a estatísticas anônimas próprias e a testes A/B.

11. Seus direitos

De acordo com o RGPD, como titular dos dados, você tem direito a:

• Acesso aos dados pessoais que tratamos sobre você e a receber uma cópia.
• Retificação de dados incorretos ou incompletos.
• Apagamento ("direito a ser esquecido") quando não houver mais motivo para guardá-los.
• Limitação do tratamento em certos casos.
• Portabilidade: receber os dados que nos forneceu em formato estruturado, de uso comum e leitura automática, quando o tratamento se basear em consentimento ou contrato e for feito por meios automatizados.
• Oposição ao tratamento baseado em interesses legítimos, por motivos relacionados à sua situação particular.
• Retirar o consentimento a qualquer momento, sem afetar o tratamento anterior (por exemplo, a caixa opcional de novidades).
• Não ficar sujeito a decisões baseadas exclusivamente em tratamento automatizado com efeitos jurídicos ou significativos. Não tomamos tais decisões.

Para exercer um direito, escreva para support@getkuka.com. Podemos pedir que você confirme sua identidade. Respondemos em até um mês; em casos complexos, o prazo pode ser prorrogado por mais dois meses e explicaremos o motivo. O exercício dos direitos é gratuito, salvo pedidos manifestamente infundados ou excessivos.

Se você é cliente de mesa ou integrante da equipe, seu pedido sobre dados que tratamos em nome de um restaurante pode ser encaminhado a esse restaurante, que é o controlador.

Reclamações. Você tem o direito de apresentar reclamação à autoridade de controle: Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1º, 1200-651 Lisboa, Portugal, www.cnpd.pt. Também pode reclamar à autoridade do Estado-Membro da UE em que mora ou trabalha. Se você está no Brasil, também podem se aplicar os direitos previstos na Lei nº 13.709/2018 (LGPD), exercíveis pelo mesmo contato, e você pode procurar a Autoridade Nacional de Proteção de Dados (ANPD).

12. Crianças

A KuKA é uma ferramenta empresarial e não se destina a crianças com menos de 16 anos. Não coletamos intencionalmente dados pessoais de crianças. Aos clientes de mesa não se pede idade nem identidade; se houver um menor à mesa, o restaurante é responsável por quem faz o pedido. Se você acredita que uma criança nos forneceu dados, entre em contato e nós os excluiremos.

13. Alterações desta política

Podemos atualizar esta política para refletir mudanças no produto, nos nossos provedores ou na lei. O número da versão e a data estão no topo desta página. Quando a mudança for relevante, daremos um aviso em destaque no produto ou no nosso site antes de ela entrar em vigor. As versões anteriores estão disponíveis mediante solicitação.

14. Contato

Vírgula Majestosa Unipessoal, Lda, Largo República da Turquia 6, Lumiar, Lisboa, Portugal. NIPC 519131410.

Email: support@getkuka.com.

Documentos relacionados: Termos de Serviço para Parceiros, Termos de Serviço para Convidados.