Política de privacidade

1. Antes de tudo: é pouco dado mesmo

O quiosco é uma comanda digital por QR code. O cliente lê o código da mesa, pede pelo celular dele, o pedido cai no balcão. Sem app para baixar. Sem cadastro do cliente.

Para isso funcionar, a gente precisa de muito pouco. Do dono e da equipe: nome, e-mail e senha. Do cliente na mesa: o primeiro nome que ele mesmo digita. Só.

Esta política vale para o site https://www.quiosco.com.br, para o painel do estabelecimento e para a tela que o cliente abre no QR da mesa. Foi escrita para ser lida por dono de quiosque, sem advogado do lado — onde a lei exige palavra técnica, a palavra vem explicada na mesma frase.

Responsável: quiosco (o serviço descrito neste documento).

2. Quem é quem: você é o dono dos dados dos seus clientes

A LGPD divide os papéis em dois. Controlador é quem decide o que fazer com o dado. Operador é quem trata o dado seguindo a ordem do controlador (art. 5º, VI e VII).

Dos dados dos clientes que sentam nas suas mesas — o nome que a pessoa digitou, o que ela pediu, quanto pagou —, o controlador é o SEU ESTABELECIMENTO. O quiosco é operador. A gente guarda e processa isso por sua conta e ordem. Não usa esses dados para outra coisa, não vende, não cruza com nada e não manda propaganda para ninguém.

Na prática, para você: se um cliente reclamar, pedir cópia ou pedir para apagar os dados dele, o pedido é seu para responder. A gente entra junto, com a mão na massa, para executar o que você determinar. Não decidimos por você e não atendemos o cliente pelas suas costas.

Dos dados de cadastro do próprio dono e da equipe — nome, e-mail, senha, assinatura — aí o controlador é o quiosco. Somos nós que decidimos guardar isso, porque sem isso não existe login nem cobrança.

3. O que a gente guarda do dono e da equipe

• Nome — para identificar quem é quem no painel, em quem abriu o caixa e em quem deu desconto. Base legal: execução do contrato (art. 7º, V). Prazo: o cadastro dura enquanto a conta existir. Mas o nome também fica copiado dentro do histórico — quem abriu e fechou o caixa, quem deu o desconto, quem lançou o pedido — e esse histórico é imutável de propósito: apagar o nome de lá destruiria a auditoria que existe justamente para proteger o dono.
• E-mail — é o seu login e o canal para falar com você sobre a assinatura. Base legal: execução do contrato (art. 7º, V). Prazo: enquanto a conta existir.
• Senha embaralhada (hash) — para conferir o login sem nunca guardar a senha legível. Base legal: execução do contrato (art. 7º, V). Prazo: enquanto a conta existir.
• Dados da assinatura (identificadores da Stripe, situação do plano, início e fim do período, valor pago e número da fatura) — para cobrar a assinatura contratada, liberar ou bloquear o acesso e comprovar pagamento. Base legal: execução do contrato (art. 7º, V) e obrigação legal e exercício de direitos em cobrança (art. 7º, II e VI). Prazo: pelo prazo legal de guarda de registro financeiro, mesmo depois do cancelamento.
• Data, versão e endereço de IP do aceite dos termos, no momento em que a loja é criada — é a prova de que o contrato foi aceito, e por isso é guardada. Base legal: exercício regular de direito (art. 7º, VI). Prazo: enquanto a conta existir e pelo prazo de prescrição depois disso.
• Endereço do serviço de notificação do navegador, as duas chaves do aparelho e o nome de quem ligou o aviso — para o balcão apitar quando entra pedido novo. Base legal: consentimento (art. 7º, I), que é o toque em "ativar". Prazo: até você desligar o aviso naquele aparelho.

Fora o aceite dos termos, o seu endereço de IP é lido no login e em algumas ações apenas para segurar tentativa em excesso. Nesse uso ele fica em memória do servidor e some quando o servidor reinicia: não vai para banco de dados nem para log.

4. O que a gente guarda do cliente que pede na mesa

• Nome ou apelido digitado na tela — normalmente pela própria pessoa; às vezes por um colega de mesa, no botão de adicionar quem está sem celular. O campo pede um nome curto e cabem até 40 caracteres: quem escrever o nome completo, o sistema guarda o que foi escrito. Serve para o garçom saber de quem é o pedido e para dividir a conta da mesa em subcontas. Base legal: execução do contrato entre o cliente e o estabelecimento (art. 7º, V) e legítimo interesse do estabelecimento em atender a mesa direito (art. 7º, IX).
• Chave aleatória de aparelho — um número sorteado, guardado no navegador do próprio celular, que serve para reconhecer que aquele aparelho é o mesmo que abriu a comanda. Não tem nome, não tem documento e não funciona fora do site daquela loja. Sendo franco: a chave é a mesma se a pessoa voltar em outro dia no mesmo celular, e ela é apagada da conta quando essa conta é fechada na mesa. Base legal: legítimo interesse em manter a comanda de pé (art. 7º, IX).
• Itens pedidos, valores, horário, mesa, observações digitadas no pedido, descontos com motivo e autor — é a comanda em si, e é o que vira relatório de faturamento, horário de pico e item campeão para o dono. A observação é campo livre: o que a pessoa escrever ali fica guardado exatamente como ela escreveu. Base legal: execução do contrato (art. 7º, V) e legítimo interesse do estabelecimento em administrar o próprio negócio (art. 7º, IX).

Nada disso pede cadastro. A pessoa senta, lê o QR, digita o nome e pede.

5. O que a gente NÃO pede ao cliente final

Vale escrever em separado, porque é a parte que costuma assustar:

• Não pedimos CPF.
• Não pedimos telefone.
• Não pedimos e-mail.
• Não pedimos endereço.
• Não pedimos data de nascimento.
• Não pedimos localização do celular: o quiosco nunca aciona o GPS nem pede permissão de localização ao navegador. O que existe é o campo de observação, onde a própria pessoa às vezes escreve onde está na areia para o garçom achar ("cadeira azul, perto do chuveiro"). Isso é texto que ela digitou, não é rastreamento.
• Não pedimos nem guardamos número de cartão, chave Pix, conta bancária ou qualquer instrumento de pagamento do cliente. Ele paga no balcão, como sempre foi. O que fica registrado no caixa do estabelecimento, quando a conta é fechada, é só o rótulo de como foi pago: dinheiro, Pix, cartão ou outro.

Um nome, um aparelho e o que a pessoa escreveu no pedido. É tudo que o quiosco sabe de quem está na mesa.

6. Cookies: são dois, os dois necessários

• praia_session — mantém o dono e a equipe logados no painel. É HttpOnly, ou seja, o próprio navegador impede que qualquer script leia esse cookie.
• mare_mesa_<nome-da-loja> — identifica o aparelho do cliente naquela mesa, para ele voltar à comanda dele e não à de outro. Também é HttpOnly.

Os nomes "praia" e "mare" são herança do nome antigo do projeto. São internos e não mudam nada para você nem para o cliente.

Os dois são cookies essenciais: sem eles o produto não funciona. Não existe cookie de publicidade, de medição de audiência ou de rastreamento. Por isso não temos aquele banner de cookies pedindo permissão — não há nada opcional para permitir.

Fora os cookies, a tela do cliente guarda duas coisas na memória do próprio navegador dele: o nome que ele digitou e a chave aleatória do aparelho. Ficam no celular dele, servem para ele não redigitar o nome a cada pedido, e não vão para lugar nenhum. Limpar os dados do navegador apaga as duas.

7. Sem rastreador e sem venda de dados

O quiosco não tem Google Analytics. Não tem pixel do Facebook. Não tem Hotjar, PostHog nem ferramenta de gravação de tela. Nenhum rastreador de terceiro roda na tela do seu cliente.

A gente não vende dado. Não aluga dado. Não faz "enriquecimento de base". Não usa o nome nem o pedido do seu cliente para treinar nada. Não manda mensagem para o cliente do seu quiosque — nem teria como, porque não temos o telefone nem o e-mail dele.

O modelo de negócio é a mensalidade. Nem comissão sobre pedido a gente cobra.

8. Com quem os dados são compartilhados

Duas empresas fixas — e, só se você ligar o aviso de pedido novo, o serviço de notificação do próprio navegador do balcão.

• Stripe — cobra a assinatura do estabelecimento. No cadastro do cliente de cobrança enviamos quatro coisas: o e-mail do dono, o nome da loja, o idioma português do Brasil e os identificadores internos da loja. Na contratação, também enviamos a identificação do plano. Não enviamos CPF nem CNPJ: a Stripe não exige isso para assinatura em cartão, e quem precisa de documento na fatura informa por conta própria dentro do portal dela. Nenhum dado do cliente da mesa vai para a Stripe.
• Railway — hospeda o site e o banco de dados. É onde os dados ficam guardados.
• O serviço de push do navegador do balcão (Google, Apple ou Mozilla, conforme o aparelho) — só entra em cena se alguém ligar o aviso de pedido novo. O alerta viaja por ele levando o número do pedido, o nome digitado na mesa e os itens, com o conteúdo cifrado ponta a ponta. Desligou o aviso, nada mais passa por ali.

Sobre o cartão: ele nunca passa pelo nosso servidor. Ao assinar, você é levado para uma página da própria Stripe e digita o cartão lá. Não temos campo de número de cartão em lugar nenhum do sistema, e trocar cartão também é lá dentro. Da assinatura, o que volta para nós é só o essencial: situação do plano, período e valor da fatura.

Fora isso, só compartilhamos dado se uma ordem judicial ou uma autoridade competente exigir. Se acontecer, e se a lei permitir avisar, a gente avisa você.

Transferência internacional: a Railway não tem servidor no Brasil. Então os dados ficam hospedados fora do país, com as garantias contratuais do fornecedor, na forma do art. 33 da LGPD. É honesto dizer isso de frente, e não escondido em nota de rodapé.

9. Segurança: o que a gente faz de verdade

• Todo o tráfego é HTTPS. A conexão entre o celular do cliente e o servidor é criptografada.
• Toda senha criada passa por scrypt, com um sal aleatório e diferente para cada uma, e o que fica no banco é o resultado embaralhado — a senha legível não fica em lugar nenhum. A conferência do login é feita em tempo constante, para não vazar pista pela demora da resposta.
• Os cookies de sessão são HttpOnly, fora do alcance de script na página.
• Há freio de tentativas no login e nas ações sensíveis, para travar quem fica chutando senha.
• Os registros de erro do sistema não guardam nome de cliente, item pedido nem IP. Guardam só identificadores técnicos.

Agora a parte honesta. O quiosco é uma operação pequena. Não temos certificação ISO, não temos SOC 2 e não temos equipe de segurança em plantão 24 horas. Fazemos o básico bem feito e não vamos fingir o contrário. Nenhum sistema no mundo é 100% seguro, e este também não é.

10. Notificação no celular do balcão

O alerta de pedido novo só existe se alguém tocar para ligar. Sem isso, nada toca.

Quando você liga, guardamos o endereço do serviço de notificação do seu navegador, duas chaves do aparelho e o nome de quem ativou. Não guardamos IP nem modelo do aparelho.

Isso é consentimento, e consentimento se desfaz na hora: desligue o aviso naquele aparelho e o registro é apagado. Também apagamos sozinhos quando o serviço de notificação avisa que aquela inscrição morreu (aparelho trocado, navegador limpo).

Atenção a um detalhe: sair da conta não desliga o aviso. Se quiser parar de receber, desligue pelo botão de notificação.

11. Por quanto tempo os dados ficam

Aqui vai a verdade nua, porque é o ponto onde a maioria das políticas mente.

Hoje o quiosco NÃO TEM rotina automática que apaga dado velho. Não existe expurgo por idade nem prazo de validade no banco. Enquanto sua loja existir, o histórico de pedidos, comandas, caixa e relatórios fica guardado. É de propósito em um ponto: o histórico financeiro é imutável, para o relatório fechar. Pedido cancelado não some — ele fica marcado como cancelado, com data e hora.

Duas coisas são apagadas sozinhas, e só essas: a inscrição de notificação morta, como explicado acima, e a chave do aparelho do cliente, no momento em que a conta dele é fechada na mesa.

Se sua assinatura vencer, nada é apagado. O cardápio, as mesas, o caixa e os relatórios continuam guardados. O que trava é a tela do cliente no QR e a entrada de pedido novo.

Se sua loja for cancelada ou bloqueada, também nada é apagado por si só. A conta deixa de operar e os dados continuam no banco.

Quer que apague de fato? Peça. Não existe botão de "excluir minha conta" no painel — seria desonesto escrever que existe. Você manda um e-mail para contato@quiosco.com.br e a gente apaga na mão, em até 30 dias, com exceção do que a lei manda guardar (registro de pagamento e o mínimo para defender direito em processo, art. 16 da LGPD).

12. Seus direitos, e como usar

O art. 18 da LGPD dá a você, sobre os seus dados:

• Saber se a gente trata dados seus.
• Ver quais são e pedir cópia deles.
• Corrigir o que estiver errado, incompleto ou desatualizado.
• Pedir para anonimizar, bloquear ou apagar dado desnecessário, excessivo ou tratado fora da lei.
• Pedir os dados em formato que dê para levar para outro fornecedor (portabilidade).
• Saber com quem compartilhamos.
• Saber o que acontece se você não consentir, quando a base for consentimento.
• Retirar o consentimento a qualquer momento — no caso da notificação, é o próprio botão de desligar.
• Se opor a tratamento feito com base em legítimo interesse.
• Reclamar à ANPD, a Autoridade Nacional de Proteção de Dados.

Como usar: mande um e-mail para contato@quiosco.com.br. Respondemos em até 15 dias.

Mais uma verdade desconfortável: o produto ainda não tem botão de exportar. Não existe CSV nem planilha para baixar — os relatórios são vistos na tela. Se você quiser seus dados em arquivo, peça por e-mail que a gente extrai à mão e envia. Suas faturas, essas você baixa sozinho, dentro do portal da Stripe.

E outra: também não existe "esqueci minha senha" ainda. Se você perder a senha, fale com a gente pelo e-mail de contato.

13. Se você é o cliente que pediu na mesa

Você digitou seu primeiro nome numa tela e pediu uma porção. É isso que existe sobre você.

Quem decide sobre esse dado é o estabelecimento onde você estava — o quiosque, o bar, o restaurante. Ele é o controlador. Então o pedido de acesso ou de exclusão vai para ele, não para nós.

Se você mandar o pedido direto para contato@quiosco.com.br, a gente não ignora: encaminhamos ao estabelecimento e ajudamos o estabelecimento a cumprir, na parte técnica. Só não decidimos no lugar dele.

Para ajudar a achar o registro, diga o nome do estabelecimento, a data aproximada e o nome que você digitou na mesa.

14. Se acontecer um vazamento

Se houver incidente de segurança com risco relevante para as pessoas, a gente vai:

• Cortar o problema e apurar o tamanho dele.
• Avisar os estabelecimentos afetados em até 2 dias úteis depois de confirmar o incidente, dizendo o que aconteceu, quais dados foram atingidos e o que fazer.
• Comunicar a ANPD em até 3 dias úteis contados de quando tomamos conhecimento do incidente, como manda o art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024, e ajudar o estabelecimento a avisar os titulares quando for o caso.

Sem eufemismo, sem "evento de segurança envolvendo terceiros". Se vazou, a gente diz que vazou.

15. Crianças e adolescentes

O quiosco é uma ferramenta de trabalho de estabelecimento. Não é dirigido a crianças nem a adolescentes.

A conta do painel deve ser criada por maior de 18 anos, dono ou responsável pelo negócio.

Na mesa, o sistema não pergunta idade em lugar nenhum: pede só um nome. Se um menor usar o celular para pedir, quem responde por ele é o responsável presente, e a venda no balcão segue as regras do estabelecimento — inclusive as de bebida alcoólica, que são obrigação do estabelecimento, não do sistema.

Se um responsável nos avisar que existe dado de criança guardado sem cabimento, a gente apaga assim que confirmar com o estabelecimento.

16. Encarregado e contato

Encarregado pelo tratamento de dados pessoais (DPO), na forma do art. 41 da LGPD: André Chiapetta.

Canal para dúvida, pedido de direito, reclamação ou aviso de incidente: contato@quiosco.com.br.

É um e-mail com gente do outro lado, não um formulário que some. Resposta em até 15 dias.

17. Mudanças nesta política

O produto muda, e o texto tem que acompanhar. Quando algo relevante mudar aqui — dado novo, terceiro novo, finalidade nova —, atualizamos esta página e a data no topo.

Se a mudança for grande, avisamos no painel e por e-mail antes de valer.

As versões anteriores ficam disponíveis mediante pedido em contato@quiosco.com.br.

Última atualização: 7 de outubro de 2026.