Versão vigente: 2026.10-provisorio
Esta Política explica, de forma simples, quais dados pessoais a [RAZÃO SOCIAL DA EMPRESA] (CNPJ [00.000.000/0001-00], sede em [endereço completo]), doravante “Bebar” ou “nós”, coleta ao operar a Plataforma Bebar, por que coletamos, com quem compartilhamos e quais são os seus direitos.
Ela foi redigida em conformidade com a Lei Geral de Proteção de Dados – LGPD (Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014) e o Código de Defesa do Consumidor (Lei nº 8.078/1990), e integra o Termo de Aceite da Plataforma.
A quem esta Política se aplica:
- Estabelecimentos (bares e restaurantes) e seus Responsáveis Legais, que contratam a Plataforma;
- Usuários Internos (equipe de salão, cozinha, caixa e gerência), que operam a Plataforma com acesso próprio;
- Clientes Finais, as pessoas sentadas à mesa que consultam o cardápio, fazem pedidos ou pagam pelo QR Code, sem criar conta;
- Visitantes do site institucional da Bebar.
Se você é Cliente Final, leia com atenção o item 2: quem decide como seus dados são usados é, na maior parte dos casos, o Estabelecimento onde você está, e a Bebar atua a serviço dele.
1. Definições
- Dado pessoal: qualquer informação relacionada a uma pessoa natural identificada ou identificável (nome, CPF, e-mail, telefone, IP, identificador do celular).
- Dado sensível: dado sobre origem racial, convicção religiosa, opinião política, saúde, vida sexual, dado genético ou biométrico. A Bebar não solicita dados sensíveis; informações de alergia ou restrição alimentar informadas espontaneamente pelo Cliente Final são tratadas com cuidado reforçado (item 3.3).
- Titular: a pessoa a quem os dados se referem (você).
- Tratamento: qualquer operação com dados: coleta, armazenamento, uso, compartilhamento, exclusão.
- Controlador: quem decide por que e como os dados são tratados.
- Operador: quem trata os dados em nome do controlador, seguindo suas instruções.
- Encarregado (DPO): pessoa indicada pela Bebar para ser o canal de comunicação com titulares e com a Autoridade Nacional de Proteção de Dados (ANPD).
- Plataforma: o software Bebar (cardápio digital, pedidos por QR Code, painel de cozinha, caixa e pagamento).
2. Papéis da Bebar: controladora e operadora
A Bebar exerce dois papéis diferentes, conforme o tipo de dado:
| Situação | Quem é o Controlador | Papel da Bebar |
|---|---|---|
| Dados da conta do Estabelecimento e do Responsável Legal (cadastro, cobrança, suporte) | Bebar | Controladora |
| Dados de Visitantes do site da Bebar | Bebar | Controladora |
| Dados dos Usuários Internos (equipe do Estabelecimento) | Estabelecimento | Operadora |
| Dados dos Clientes Finais (pedidos, mesa, pagamento) | Estabelecimento e, quanto ao pagamento, a instituição de pagamento parceira | Operadora |
| Dados agregados e anonimizados de uso da Plataforma | Bebar | Controladora (dados anonimizados não são dados pessoais – art. 12 da LGPD) |
O que isso significa na prática:
- Quando a Bebar é controladora, somos nós que respondemos pelas decisões sobre os dados e atendemos diretamente seus pedidos (item 9).
- Quando a Bebar é operadora, tratamos os dados apenas conforme as instruções do Estabelecimento e para fazer a Plataforma funcionar. Pedidos de Clientes Finais e Usuários Internos devem ser dirigidos ao Estabelecimento; ainda assim, a Bebar recebe o pedido, encaminha ao Estabelecimento e o auxilia a responder.
- As obrigações da Bebar como operadora estão detalhadas na Cláusula 7 do Termo de Aceite e, quando contratado, no Acordo de Processamento de Dados (DPA).
3. Quais dados coletamos e de quem
Coletamos apenas o necessário para cada finalidade (princípio da necessidade, art. 6º, III, da LGPD).
3.1. Estabelecimento e Responsável Legal
| Dado | Como obtemos |
|---|---|
| Razão social, nome fantasia, CNPJ, endereço, telefone, e-mail | Cadastro |
| Nome, CPF, e-mail, telefone e documento do Responsável Legal | Cadastro e validação de identidade |
| Dados bancários para repasse (banco, agência, conta, chave Pix) | Cadastro |
| Histórico de faturas, pagamentos de mensalidade e repasses | Gerado pela Plataforma |
| Conversas de suporte | Canais de atendimento |
| Dados de navegação (IP, dispositivo, navegador, data e hora de acesso) | Coletados automaticamente |
3.2. Usuários Internos (equipe do Estabelecimento)
| Dado | Como obtemos |
|---|---|
| Nome, função, login e senha (armazenada com hash) | Cadastrado pelo Estabelecimento |
| Registro de ações no sistema (pedidos lançados, mesas fechadas, descontos aplicados, horário) | Gerado pela Plataforma |
| Dados de navegação (IP, dispositivo, data e hora) | Coletados automaticamente |
3.3. Clientes Finais (pessoa à mesa)
| Dado | Como obtemos | Obrigatório? |
|---|---|---|
| Número da mesa ou comanda | Leitura do QR Code | Sim |
| Itens pedidos, observações e horários | Pedido feito pelo Cliente | Sim |
| Nome ou apelido para identificação do pedido | Informado pelo Cliente | Opcional, conforme configuração do Estabelecimento |
| CPF na nota fiscal | Informado pelo Cliente | Opcional |
| Dados de pagamento (bandeira, últimos 4 dígitos, status, valor) | Instituição de pagamento parceira | Somente se pagar pela Plataforma |
| Telefone ou e-mail para envio de comprovante | Informado pelo Cliente | Opcional |
| Observações de alergia ou restrição alimentar | Informadas espontaneamente pelo Cliente no pedido | Opcional |
| Identificador anônimo de sessão, IP, modelo do dispositivo | Coletados automaticamente | Sim, para segurança e funcionamento |
A Bebar não armazena o número completo do cartão, validade ou código de segurança: esses dados são capturados e processados diretamente pela instituição de pagamento parceira, em ambiente certificado PCI DSS.
Observações de alergia ou restrição alimentar podem revelar dado de saúde. Por isso, são usadas apenas para preparar o pedido corretamente, não são associadas a um perfil permanente e são excluídas com o histórico do pedido (item 7).
3.4. Visitantes do site
Dados de navegação, cookies (item 6) e informações enviadas em formulários de contato ou demonstração (nome, e-mail, telefone, nome do estabelecimento).
4. Para que usamos os dados e bases legais
A LGPD exige que todo tratamento tenha uma base legal (art. 7º). Abaixo, cada finalidade e a base correspondente.
| Finalidade | Dados usados | Base legal (LGPD) |
|---|---|---|
| Criar e manter a conta do Estabelecimento, prestar o serviço contratado | Cadastro, dados bancários, dados dos Usuários Internos | Execução de contrato (art. 7º, V) |
| Receber pedidos, enviá-los à cozinha, fechar contas e processar pagamentos | Mesa, pedidos, dados de pagamento | Execução de contrato (art. 7º, V), por instrução do Estabelecimento |
| Emitir notas fiscais, cumprir obrigações contábeis, fiscais e de prevenção à lavagem de dinheiro | CPF, CNPJ, valores das transações | Cumprimento de obrigação legal (art. 7º, II) |
| Prevenir fraudes, garantir a segurança da Plataforma e das transações | IP, dispositivo, registros de acesso, histórico de transações | Legítimo interesse (art. 7º, IX) e prevenção à fraude (art. 11, II, g, por analogia); art. 7º, X do Marco Civil |
| Prestar suporte e responder solicitações | Dados de contato, conversas de suporte | Execução de contrato (art. 7º, V) |
| Melhorar a Plataforma e produzir estatísticas | Dados de uso agregados e anonimizados | Dados anonimizados não são pessoais (art. 12); quando identificáveis, legítimo interesse (art. 7º, IX) |
| Enviar comunicações de marketing ao Estabelecimento | E-mail, telefone | Consentimento (art. 7º, I), revogável a qualquer momento |
| Enviar comprovante de pagamento ao Cliente Final | Telefone ou e-mail informado | Execução de contrato / pedido do titular (art. 7º, V) |
| Exercer direitos em processos judiciais, administrativos ou arbitrais | Registros contratuais e de uso | Exercício regular de direitos (art. 7º, VI) |
O que não fazemos: não vendemos dados pessoais; não criamos perfis de consumo individuais de Clientes Finais para publicidade; não usamos dados de alergia para qualquer fim além do preparo do pedido; não enviamos marketing a Clientes Finais em nome da Bebar.
Quando o tratamento se baseia em legítimo interesse, a Bebar realiza o teste de balanceamento previsto no art. 10 da LGPD e o documenta em seu Relatório de Impacto, disponível à ANPD mediante solicitação.
5. Com quem compartilhamos
Compartilhamos dados apenas quando necessário, com parceiros que assumem obrigações de proteção equivalentes às nossas.
| Com quem | Quais dados | Por quê |
|---|---|---|
| Estabelecimento onde o Cliente Final está | Mesa, pedidos, nome/apelido, observações, status do pagamento | É o controlador; precisa dos dados para servir o pedido e fechar a conta |
| Instituição de pagamento parceira ([nome]) | Dados de pagamento, valor, CPF (se informado), dados bancários do Estabelecimento | Processar pagamentos e repasses; autorizada pelo Banco Central |
| Provedores de nuvem e infraestrutura ([ex.: AWS, Google Cloud]) | Todos os dados armazenados, criptografados | Hospedagem da Plataforma |
| Ferramentas de suporte, e-mail e mensageria ([nomes]) | Dados de contato e conteúdo das conversas | Atender e comunicar |
| Serviços de emissão de nota fiscal ([nome]) | CPF/CNPJ, itens e valores | Cumprir obrigação fiscal |
| Ferramentas de análise e monitoramento ([nomes]) | Dados de uso, preferencialmente anonimizados | Medir desempenho e corrigir erros |
| Autoridades públicas, Poder Judiciário, ANPD | O que for exigido | Cumprir ordem legal ou judicial |
| Sucessores em caso de fusão, aquisição ou reorganização societária | Dados necessários à continuidade do serviço | Continuidade do contrato, com aviso prévio aos titulares |
Todos os suboperadores são contratualmente obrigados a seguir esta Política e a LGPD. A lista atualizada de suboperadores está disponível em [link] e qualquer inclusão relevante será comunicada ao Estabelecimento com antecedência.
6. Cookies e tecnologias similares
Cookies são pequenos arquivos gravados no seu navegador ou dispositivo. A Plataforma e o site da Bebar usam:
| Tipo | Exemplos | Precisa de consentimento? |
|---|---|---|
| Necessários | Manter a sessão da mesa ativa, lembrar o carrinho de pedidos, proteger contra fraude | Não (são indispensáveis ao funcionamento) |
| Funcionais | Lembrar idioma e preferências de exibição | Não (legítimo interesse) |
| Analíticos | Medir uso das telas e identificar erros | Sim – banner de cookies |
| Marketing (somente no site institucional) | Medir campanhas de anúncios | Sim – banner de cookies |
No cardápio digital usado pelo Cliente Final, só utilizamos cookies necessários e funcionais; não há cookies de marketing.
Você pode gerenciar cookies pelo banner de preferências ou pelas configurações do navegador. Bloquear cookies necessários pode impedir o envio de pedidos pela mesa.
7. Por quanto tempo guardamos os dados
Guardamos os dados apenas pelo tempo necessário à finalidade ou pelo prazo exigido por lei (art. 15 e 16 da LGPD).
| Dado | Prazo de retenção | Fundamento |
|---|---|---|
| Dados da conta do Estabelecimento | Durante o contrato + 5 anos | Prazo prescricional geral (art. 206, § 5º, Código Civil) e CDC (art. 27) |
| Documentos fiscais e registros de transações | 5 anos após o exercício | Legislação tributária (art. 173 e 174 do CTN) |
| Dados bancários do Estabelecimento | Durante o contrato + 6 meses após o último repasse | Conciliação financeira |
| Pedidos e histórico de consumo do Cliente Final (mesa, itens, observações, alergias) | Até [90 dias] após o pedido, para o Cliente; relatórios agregados ficam com o Estabelecimento | Necessidade; o Estabelecimento define prazo menor se quiser |
| Nome/apelido, telefone ou e-mail do Cliente Final para comprovante | Até [30 dias] após o envio | Necessidade |
| Registros de acesso à aplicação (IP, data, hora) | 6 meses | Art. 15 do Marco Civil da Internet |
| Registros de ações dos Usuários Internos | Durante o contrato + 1 ano | Auditoria e segurança |
| Conversas de suporte | 2 anos | Legítimo interesse e exercício de direitos |
| Dados para marketing | Até a revogação do consentimento | Consentimento |
Ao fim do prazo, os dados são excluídos ou anonimizados de forma irreversível. Dados objeto de litígio ou ordem judicial são mantidos até a conclusão do caso.
8. Como protegemos os dados
Adotamos medidas técnicas e administrativas compatíveis com o padrão do mercado (art. 46 da LGPD):
- criptografia dos dados em trânsito (TLS) e em repouso;
- senhas armazenadas apenas com hash seguro; autenticação com perfis de permissão por função;
- separação lógica dos dados de cada Estabelecimento;
- cópias de segurança periódicas, com testes de restauração;
- registro e monitoramento de acessos; revisão periódica de permissões;
- acesso de colaboradores da Bebar limitado ao mínimo necessário e sujeito a sigilo;
- dados de cartão tratados exclusivamente por parceiro certificado PCI DSS;
- plano de resposta a incidentes.
Nenhum sistema é 100% seguro. Em caso de incidente de segurança que possa causar risco ou dano relevante aos titulares, a Bebar comunicará a ANPD e os titulares (ou o Estabelecimento, quando atuar como operadora) em prazo razoável, informando a natureza dos dados afetados, os riscos e as medidas adotadas (art. 48 da LGPD).
Sua parte: mantenha senhas em sigilo, use um acesso por pessoa, revogue acessos de ex-colaboradores e avise a Bebar imediatamente se suspeitar de uso indevido.
9. Seus direitos como titular
A LGPD (art. 18) garante a você, a qualquer momento e gratuitamente, o direito de:
- confirmar se tratamos seus dados;
- acessar seus dados;
- corrigir dados incompletos, inexatos ou desatualizados;
- pedir a anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- pedir a portabilidade dos dados a outro fornecedor;
- pedir a eliminação dos dados tratados com base no seu consentimento;
- saber com quem compartilhamos seus dados;
- saber que pode não dar consentimento e as consequências disso;
- revogar o consentimento a qualquer momento;
- opor-se a tratamento feito sem consentimento, se houver descumprimento da lei;
- pedir revisão de decisões automatizadas que afetem seus interesses.
Como exercer: envie um pedido para [privacidade@bebar.com.br] ou pelo formulário em [link], informando seu nome e o Estabelecimento relacionado, se for o caso. Poderemos pedir informações para confirmar sua identidade antes de responder, para proteger seus próprios dados.
Prazos: respondemos em até 15 (quinze) dias a pedidos de acesso e em prazo razoável aos demais, conforme a regulamentação da ANPD. Se não pudermos atender, explicaremos o motivo (por exemplo, dever legal de guarda).
Se você é Cliente Final ou Usuário Interno: o Estabelecimento é o controlador dos seus dados. Você pode fazer o pedido diretamente a ele ou à Bebar; neste caso, encaminharemos ao Estabelecimento e o ajudaremos a responder.
Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) em gov.br/anpd.
10. Transferência internacional
A Plataforma é hospedada em provedores de nuvem que podem manter servidores fora do Brasil ([países/regiões]). Nessas hipóteses, a transferência ocorre com base no art. 33 da LGPD, mediante cláusulas contratuais padrão aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024) ou outro mecanismo previsto na lei, garantindo nível de proteção equivalente ao brasileiro.
11. Menores de idade
A conta de Estabelecimento e os acessos de Usuários Internos destinam-se a maiores de 18 anos. Clientes Finais menores de idade podem consultar o cardápio e fazer pedidos sob responsabilidade do Estabelecimento e de seus responsáveis legais; a Bebar não coleta deliberadamente dados de crianças e trata dados de menores no melhor interesse deles (art. 14 da LGPD). Cabe ao Estabelecimento observar as restrições legais à venda de bebidas alcoólicas (art. 81, II, do ECA) e configurar a Plataforma de acordo. Se tomarmos conhecimento de coleta indevida de dados de criança, excluiremos os dados prontamente.
12. Alterações desta Política
Podemos atualizar esta Política para refletir mudanças legais, técnicas ou do serviço. Alterações relevantes serão comunicadas aos Estabelecimentos por e-mail e aviso no painel com 30 (trinta) dias de antecedência, e aos Clientes Finais por aviso no cardápio digital. A versão vigente e as anteriores ficam em [link], com data de atualização no início do documento.
13. Encarregado (DPO) e contato
Controladora: [RAZÃO SOCIAL DA EMPRESA], CNPJ [00.000.000/0001-00], [endereço completo].
Encarregado(a) de Proteção de Dados (DPO): [nome] – [privacidade@bebar.com.br] – [telefone, opcional].
O DPO é o canal para dúvidas, pedidos de titulares e comunicação com a ANPD (art. 41 da LGPD).
Legislação de referência: Lei nº 13.709/2018 (LGPD); Lei nº 12.965/2014 (Marco Civil da Internet) e Decreto nº 8.771/2016; Lei nº 8.078/1990 (CDC); Resolução CD/ANPD nº 2/2022 (agentes de pequeno porte), nº 15/2024 (incidentes de segurança) e nº 19/2024 (transferência internacional).
Versão [1.0] – vigente a partir de [dd/mm/aaaa].
Anexo – Aviso resumido para o cardápio digital
Texto curto para exibir ao Cliente Final ao abrir o QR Code (rodapé ou primeiro acesso), em nome do Estabelecimento:
Seus dados neste cardápio. Este cardápio é operado pela Bebar a serviço de [Nome do Estabelecimento]. Usamos o número da sua mesa e os itens pedidos apenas para preparar e cobrar seu pedido. Nome, CPF e contato são opcionais. Pagamentos são processados por [instituição de pagamento]; não guardamos o número do seu cartão. Os dados do pedido são apagados em até [90] dias. Dúvidas ou pedidos sobre seus dados: [privacidade@bebar.com.br]. [Ver Política de Privacidade completa].