Adendo de Tratamento de Dados Pessoais
Vigência desde 09/08/2026
- Plataforma: Cardapidex (https://cardapidex.com.br)
- Cidade: Palmas/TO
- E-mail: [email protected]
Este Adendo integra os Termos de Uso e disciplina o tratamento de dados pessoais entre o estabelecimento assinante (Controlador) e o Cardapidex (Operador), conforme a Lei nº 13.709/2018 (LGPD). Para os dados dos consumidores finais, a política aplicável é a Política de Privacidade.
1. Papéis
- O Controlador decide as finalidades do tratamento: quem são seus clientes, que mensagens envia, que dados coleta no checkout.
- O Operador trata os dados exclusivamente conforme instruções do Controlador e para prestar o serviço contratado.
- O Operador não vende, não aluga e não usa a base de clientes do Controlador para fins próprios ou de terceiros.
2. Objeto do tratamento
- Titulares: clientes finais do Controlador.
- Dados: nome, telefone/WhatsApp, endereço de entrega, histórico de pedidos, conteúdo das conversas de atendimento e, quando exigido para documento fiscal, CPF.
- Finalidade: receber e processar pedidos, calcular entrega, cobrar, atender e — quando o Controlador ativar — enviar comunicações.
- Duração: enquanto durar a assinatura, mais o prazo de retenção do item 7.
3. Segurança
O Operador mantém conexão criptografada, credenciais armazenadas de forma cifrada, controle de acesso por autenticação, isolamento entre estabelecimentos e backup diário com retenção de 30 dias.
4. Suboperadores
O Controlador autoriza os seguintes suboperadores, necessários à prestação do serviço:
- Provedor de infraestrutura em nuvem — hospedagem e banco de dados.
- Meta Platforms — envio e recebimento de mensagens via WhatsApp Business API.
- Mercado Pago — processamento de pagamentos.
- Google — geocodificação de endereços para cálculo de entrega.
- Resend — envio de e-mails transacionais.
A inclusão de novo suboperador é comunicada com 30 dias de antecedência; o Controlador pode rescindir sem multa se não concordar.
5. Apoio ao Controlador
O Operador auxilia o Controlador a atender pedidos de titulares (acesso, correção, eliminação, portabilidade) por meio das funções do painel e, quando necessário, por solicitação direta, em prazo compatível com o art. 19 da LGPD.
6. Incidentes de segurança
Havendo incidente que possa acarretar risco relevante aos titulares, o Operador comunica o Controlador em até 48 horas da ciência, com a natureza dos dados, os titulares envolvidos, as medidas adotadas e os riscos. A comunicação à ANPD e aos titulares cabe ao Controlador, com apoio do Operador.
7. Devolução e eliminação
Encerrado o contrato, o Controlador tem 30 dias para exportar sua base. Após esse prazo, os dados são eliminados ou anonimizados, ressalvada a guarda exigida por obrigação legal (art. 16, I da LGPD).
8. Transferência internacional
Alguns suboperadores podem processar dados fora do Brasil. Nesses casos, a transferência se dá com base nas hipóteses do art. 33 da LGPD e nas cláusulas contratuais desses fornecedores.
9. Auditoria
O Controlador pode solicitar, uma vez por ano, informações que demonstrem o cumprimento deste Adendo.