Política de Privacidade

Última atualização: [DATA DA ÚLTIMA ATUALIZAÇÃO] Versão: 1.0

Esta Política de Privacidade explica como a SushiJapaChan trata seus dados pessoais quando você visita nosso site, faz pedidos online, reserva uma experiência Omakase, participa do nosso programa de fidelidade ou se comunica com a gente. Escrevemos este documento para que você, cliente, entenda claramente o que coletamos, por que coletamos e o que você pode fazer a respeito.

Operamos em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 — LGPD), com o Código de Defesa do Consumidor (Lei nº 8.078/1990), com o Decreto nº 7.962/2013 (e-commerce) e com as resoluções da Autoridade Nacional de Proteção de Dados (ANPD) vigentes.

---

Sumário

1. Quem somos e por que sua privacidade importa
2. Identificação do controlador
3. Encarregado de Dados (DPO) e canal de comunicação
4. Quais dados coletamos
5. Para quais finalidades usamos seus dados
6. Com quem compartilhamos seus dados
7. Transferência internacional de dados
8. Cookies e tecnologias similares
9. Por quanto tempo guardamos seus dados
10. Seus direitos como titular
11. Decisões automatizadas
12. Crianças e adolescentes
13. Como protegemos seus dados
14. Incidentes de segurança
15. Marketing e comunicações
16. Alterações nesta política
17. Contato e Encarregado
18. Glossário
19. Histórico de versões

---

1. Quem somos e por que sua privacidade importa

A SushiJapaChan é um restaurante japonês com proposta premium acessível. Operamos unidades físicas, atendimento via delivery próprio, reservas para a experiência Omakase e um programa de fidelidade para clientes recorrentes.

Quando você navega no nosso site, faz um pedido, reserva uma mesa ou recebe nossas comunicações, alguns dados pessoais seus passam pelas nossas mãos. Tratamos esses dados com responsabilidade porque entendemos que confiança é parte do que oferecemos, junto com o peixe fresco e o atendimento atento.

Este documento descreve:

• Quais dados coletamos e por quê.
• Quem mais tem acesso (operadores e parceiros) e em que condições.
• Quanto tempo guardamos cada tipo de informação.
• Quais direitos você tem e como exercê-los.

Se ficar qualquer dúvida, fale com a gente pelos canais da Seção 17.

---

2. Identificação do controlador

O controlador dos seus dados pessoais — ou seja, a pessoa jurídica que decide como e por que tratá-los — é:

• Razão social: [RAZÃO SOCIAL]
• Nome fantasia: SushiJapaChan
• CNPJ: [CNPJ]
• Endereço da sede: [ENDEREÇO DA SEDE]
• E-mail de atendimento: [E-MAIL SAC]
• Telefone: [TELEFONE]
• WhatsApp oficial: [WHATSAPP OFICIAL]

Quando você faz um pedido por uma plataforma terceira (por exemplo, iFood, Rappi ou outros marketplaces), essa plataforma e a SushiJapaChan podem atuar como controladores conjuntos para parte do tratamento. Mais detalhes na Seção 6.

---

3. Encarregado de Dados (DPO) e canal de comunicação

A LGPD prevê a figura do Encarregado de Dados (DPO) como ponto de contato entre você, a ANPD e a SushiJapaChan.

• Encarregado(a): [NOME DO ENCARREGADO] (opcional, conforme enquadramento)
• E-mail para assuntos de privacidade e exercício de direitos: [E-MAIL DPO/PRIVACIDADE]

Caso a SushiJapaChan se enquadre como agente de tratamento de pequeno porte nos termos da Resolução CD/ANPD nº 2/2022, mantemos um canal de comunicação ativo com o titular conforme o artigo 11 dessa Resolução, mesmo que a indicação formal de encarregado seja dispensada. Isso não reduz os seus direitos nem nossas obrigações.

Para qualquer dúvida, solicitação ou reclamação sobre o uso dos seus dados pessoais, escreva para [E-MAIL DPO/PRIVACIDADE]. Respondemos em até 15 dias corridos, conforme o art. 19, §1º da LGPD.

---

4. Quais dados coletamos

Coletamos só os dados necessários para cada finalidade. Abaixo, organizamos por contexto de uso — assim você entende o que ocorre em cada interação.

4.1 Cadastro e conta

• Nome completo
• E-mail
• Telefone/WhatsApp
• Senha (armazenada de forma criptografada — não temos acesso ao texto puro)
• Data de nascimento (opcional, usada para benefícios de aniversário no fidelidade)
• Preferências declaradas (canal de comunicação, restrições alimentares)

4.2 Pedidos de delivery e takeaway

• Endereço de entrega (rua, número, complemento, bairro, CEP, cidade, estado)
• Telefone para contato no momento da entrega
• Itens do pedido, quantidades, observações
• Preferências e restrições alimentares declaradas (alergias, intolerâncias)
• Histórico de pedidos anteriores (quando você está logado)

4.3 Pagamento

Trabalhamos com gateways de pagamento especializados (Stripe, Mercado Pago, Pagar.me, entre outros). Quando você paga:

• Os dados do cartão (número, validade, CVV) são digitados diretamente no ambiente do gateway, com criptografia em trânsito.
• Recebemos do gateway apenas um token que representa o cartão, status da transação, bandeira, últimos quatro dígitos e nome do portador.
• Para Pix, recebemos o status da transação e o identificador do pagamento.

Nós não armazenamos o número completo do seu cartão. O dado sensível de pagamento é tokenizado pelo gateway certificado PCI-DSS, e a SushiJapaChan não tem como reconstruí-lo.

4.4 Reservas e experiência Omakase

• Nome, e-mail, telefone
• Data, horário e número de pessoas
• Preferências de assento (balcão, mesa)
• Restrições alimentares e alergias declaradas
• Dados de pagamento tokenizados (quando o Omakase exige sinal ou pré-pagamento)
• Comunicações trocadas sobre a reserva

4.5 Programa de fidelidade

• Histórico de consumo (itens pedidos, frequência, ticket médio)
• Pontos acumulados, cupons gerados, recompensas resgatadas
• Perfil de consumo construído a partir do seu comportamento na plataforma (mais detalhes na Seção 11)

4.6 Cookies e tecnologias similares

Quando você navega no site, podemos coletar:

• Identificador anônimo do navegador
• Endereço IP
• Tipo de dispositivo, sistema operacional e navegador
• Páginas visitadas, tempo de permanência, cliques
• Origem do tráfego (de onde você veio)

Usamos o Umami (ferramenta de analytics que hospedamos em infraestrutura própria) para métricas de navegação e a gravação de sessão (session replay), que registra interações como cliques, rolagem e digitação — inclusive em formulários de pedido. Essas tecnologias só operam após o seu consentimento (Seção 8).

Detalhes na Seção 8.

4.7 Comunicações com a gente

• Mensagens trocadas por e-mail, WhatsApp ou formulário de contato
• Avaliações, comentários e feedback que você nos envia
• Registros de atendimento (data, canal, assunto, resolução)

4.8 Dados que não solicitamos

Não pedimos dados sensíveis (religião, orientação sexual, opinião política, saúde detalhada) para fornecer nossos serviços. Quando você declara uma alergia ou restrição alimentar, tratamos essa informação como dado relativo à saúde, com a finalidade exclusiva de proteger sua integridade durante o consumo, com base no seu próprio consentimento informado ao registrar a preferência.

---

5. Para quais finalidades usamos seus dados

A LGPD exige que tenhamos uma base legal para cada uso. A tabela abaixo resume:

Sempre que mencionamos legítimo interesse, fazemos uma análise prévia (LIA — Avaliação de Legítimo Interesse) ponderando a finalidade, a necessidade do tratamento e o impacto sobre você. Você pode pedir mais detalhes pelo [E-MAIL DPO/PRIVACIDADE].

---

6. Com quem compartilhamos seus dados

Compartilhamos dados pessoais com terceiros apenas quando necessário e sempre dentro de uma das bases legais previstas pela LGPD. Abaixo, a lista por categoria.

6.1 Operadores que tratam dados em nosso nome

Esses parceiros agem sob nossas instruções e contratos com cláusulas de proteção de dados:

• Gateways de pagamento: Stripe, Mercado Pago, Pagar.me — para autorizar e liquidar transações de cartão e Pix.
• Provedores de cloud e hospedagem: infraestrutura de servidores e banco de dados.
• Ferramentas de e-mail marketing e CRM: envio de newsletter, gestão de relacionamento.
• Plataformas de atendimento e WhatsApp Business: gerenciamento das suas mensagens.
• Ferramentas de analytics: Umami (analytics que hospedamos em infraestrutura própria, incluindo gravação de sessão) — quando você consente. Google Analytics 4 (GA4) e Meta Pixel poderão ser adotados futuramente, também mediante consentimento.
• Sistemas de gestão e PDV do restaurante.

6.2 Plataformas terceiras com responsabilidade compartilhada

Quando você faz um pedido por uma plataforma de marketplace, ela e a SushiJapaChan tratam dados em controladoria conjunta para entregar seu pedido:

• iFood
• Rappi
• pedidosite e demais marketplaces parceiros

Cada plataforma tem sua própria política de privacidade, que você deve consultar para entender o tratamento que ocorre do lado dela. A SushiJapaChan recebe da plataforma apenas o que é necessário para preparar e entregar o pedido.

6.3 Autoridades públicas

Compartilhamos dados com autoridades (judiciais, administrativas, fiscais ou de proteção de dados) mediante requisição legal válida ou quando a legislação assim exigir.

6.4 Em operações societárias

Em caso de fusão, aquisição, reorganização societária ou venda de ativos, dados pessoais podem ser transferidos para a entidade resultante, mantida a mesma finalidade e o mesmo nível de proteção. Avisaremos previamente quando isso ocorrer.

6.5 O que nós não fazemos

Não vendemos seus dados pessoais. Eles não são produto. Compartilhamos apenas o estritamente necessário para entregar o serviço que você contratou, cumprir a lei ou proteger nossos direitos.

---

7. Transferência internacional de dados

Alguns dos nossos operadores e parceiros têm infraestrutura fora do Brasil. Isso significa que seus dados podem ser transferidos para outros países durante o tratamento.

Adotamos um instrumento legalmente válido para cada transferência, conforme a Resolução CD/ANPD nº 19/2024.

Sempre que aplicável, exigimos do destinatário garantias contratuais de que ele observa princípios e direitos da LGPD equivalentes aos brasileiros.

---

8. Cookies e tecnologias similares

Cookies são pequenos arquivos que ficam no seu dispositivo e ajudam a oferecer e melhorar a experiência. Também usamos pixels, beacons e SDKs com função similar.

8.1 Categorias de cookies

• Essenciais: indispensáveis para o site funcionar — carrinho, sessão, segurança, balanceamento de carga, prevenção a fraude no checkout. Base legal: execução de contrato e legítimo interesse. Não dependem de consentimento.
• Analíticos e de gravação de sessão: medem como você usa o site e registram interações de tela (cliques, rolagem, digitação, inclusive em formulários) para que possamos melhorar — Umami, hospedado em infraestrutura própria. Google Analytics 4 poderá ser adotado futuramente. Base legal: consentimento.
• Marketing: permitem mostrar comunicações mais relevantes para você dentro e fora do nosso site — Meta Pixel e listas customizadas (previstos para adoção futura). Base legal: consentimento.

8.2 Como pedimos seu consentimento

Logo na sua primeira visita, exibimos um banner com opções equivalentes de Aceitar ou Rejeitar, no mesmo nível visual e funcional. O analytics e a gravação de sessão só começam a operar depois que você os autoriza — nada não essencial roda antes da sua escolha. Você pode revisar a decisão a qualquer momento pelo link "Preferências de cookies" no rodapé.

8.3 Como gerenciar suas preferências

Você pode revisar suas escolhas a qualquer momento clicando em "Preferências de cookies" no rodapé do site. Também é possível bloquear ou apagar cookies diretamente nas configurações do seu navegador, mas isso pode afetar funcionalidades do site.

Mantemos um registro auditável do seu consentimento (data, hora, versão da política).

---

9. Por quanto tempo guardamos seus dados

Conservamos dados pessoais pelo tempo estritamente necessário para a finalidade do tratamento e para cumprir obrigações legais.

Após o prazo, anonimizamos (de modo a não permitir reidentificação) ou eliminamos os dados, ressalvadas as hipóteses legais que exigem conservação por mais tempo.

Quando você pede a exclusão da sua conta, removemos os dados desnecessários e mantemos apenas o mínimo legal por prazo definido — por exemplo, dados fiscais de pedidos já realizados.

---

10. Seus direitos como titular

A LGPD (art. 18) garante uma série de direitos sobre seus dados pessoais. Você pode, gratuitamente e a qualquer momento:

• Confirmar se tratamos seus dados.
• Acessar os dados que mantemos sobre você.
• Corrigir dados incompletos, inexatos ou desatualizados.
• Solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD.
• Solicitar a portabilidade dos seus dados para outro fornecedor de serviço ou produto.
• Solicitar a eliminação dos dados tratados com base no seu consentimento.
• Obter informação sobre com quem compartilhamos seus dados.
• Obter informação sobre a possibilidade de não fornecer consentimento e sobre as consequências.
• Revogar o consentimento a qualquer momento, sem prejuízo da legalidade do tratamento anterior.
• Opor-se a tratamentos realizados com base em outra hipótese legal, em caso de descumprimento da LGPD.

Como exercer seus direitos: envie um e-mail para [E-MAIL DPO/PRIVACIDADE] indicando seu nome, e-mail cadastrado e o pedido. Pedimos uma confirmação simples para garantir que estamos falando com o titular dos dados.

Prazo de resposta: até 15 dias corridos a partir do seu pedido, conforme o art. 19, §1º da LGPD.

Em alguns casos, podemos pedir informações adicionais para confirmar sua identidade ou explicar por que determinada solicitação não pode ser atendida integralmente (por exemplo, dado retido por obrigação fiscal).

Direito de reclamação à ANPD

Se você entender que seus direitos não foram atendidos, pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD) em https://www.gov.br/anpd/, bem como aos órgãos de defesa do consumidor.

---

11. Decisões automatizadas

No programa de fidelidade, podemos aplicar regras automatizadas para recomendar pratos, gerar cupons personalizados ou definir benefícios com base no seu histórico de consumo. Isso constitui tratamento parcialmente automatizado com formação de perfil.

Você tem o direito de solicitar revisão por uma pessoa humana das decisões automatizadas que afetem seus interesses, com base no art. 20 da LGPD. Para isso, escreva para [E-MAIL DPO/PRIVACIDADE] explicando qual decisão deseja revisar.

A qualquer momento você pode pedir para não receber recomendações personalizadas ou para se retirar do programa, sem prejuízo do acesso aos demais serviços.

---

12. Crianças e adolescentes

O site da SushiJapaChan é direcionado a maiores de 18 anos. Não criamos contas para menores nem direcionamos comunicações de marketing a essa faixa.

Se o tratamento envolver dados de crianças (até 12 anos) ou adolescentes (13 a 17 anos) — por exemplo, em uma reserva familiar — adotamos as proteções do art. 14 da LGPD: prevalência do melhor interesse, consentimento específico de pelo menos um dos pais ou responsáveis quando aplicável e tratamento sempre orientado pela finalidade declarada.

Se você identificar que coletamos dados de menor sem o devido consentimento, avise-nos em [E-MAIL DPO/PRIVACIDADE] para correção imediata.

---

13. Como protegemos seus dados

Adotamos medidas técnicas e administrativas razoáveis para proteger seus dados contra acessos não autorizados, perdas, alterações e destruições.

• Criptografia em trânsito (TLS) em todas as comunicações entre o seu navegador e nossos servidores.
• Criptografia em repouso para dados sensíveis quando aplicável.
• Tokenização do cartão pelo gateway certificado PCI-DSS — não armazenamos o número do cartão.
• Senhas armazenadas com algoritmos de hash robustos (não temos acesso à sua senha em texto puro).
• Controle de acesso com perfis de permissão por função.
• Logs de auditoria em sistemas críticos.
• Treinamento contínuo da equipe em proteção de dados e segurança da informação.
• Política interna de senhas, dispositivos e gestão de incidentes.
• Contratos com operadores que incluem cláusulas de confidencialidade e proteção de dados.

Nenhuma medida de segurança é absoluta. Por isso recomendamos que você também tome cuidados: use senha forte e única, não compartilhe seu acesso, mantenha seu navegador atualizado e ative autenticação adicional quando disponível.

---

14. Incidentes de segurança

Mantemos um plano de resposta a incidentes que prevê detecção, contenção, investigação, comunicação e mitigação.

Se ocorrer um incidente de segurança envolvendo seus dados pessoais e que possa acarretar risco ou dano relevante, comunicaremos:

• A ANPD, em prazo razoável conforme a Resolução CD/ANPD nº 15/2024.
• Você, titular afetado, pelo canal apropriado (e-mail ou WhatsApp cadastrado), com:
  • Descrição da natureza do incidente.
  • Categorias de dados afetados.
  • Riscos potenciais.
  • Medidas adotadas e em curso para mitigar os efeitos.
  • Canal para contato e mais informações.

Como tratamos dados financeiros (Pix e tokens de cartão), incidentes envolvendo esses dados são, em regra, objeto de comunicação obrigatória à ANPD e aos titulares, nos termos da Resolução nº 15/2024.

Se desconfiar de uso indevido da sua conta ou de qualquer irregularidade, avise-nos imediatamente em [E-MAIL DPO/PRIVACIDADE].

---

15. Marketing e comunicações

15.1 Como você passa a receber

Enviamos newsletter por e-mail e mensagens de marketing por WhatsApp somente quando você consente expressamente, no momento do cadastro, em formulário específico ou em campanha pontual. O consentimento é coletado:

• De forma livre, informada e específica por canal (e-mail e WhatsApp são consentimentos separados).
• Sem opções pré-marcadas.
• Com registro auditável (data, hora, versão da política).

15.2 Como você sai

A revogação é tão simples quanto a adesão:

• No e-mail: clique no link de descadastramento no rodapé de qualquer mensagem.
• No WhatsApp: responda com a palavra SAIR ou peça o descadastramento pelo SAC.
• No site: ajuste suas preferências de comunicação na sua conta.

Após a revogação, você continua recebendo apenas comunicações transacionais essenciais (confirmação de pedido, status de entrega, comprovante fiscal, atualização de Política de Privacidade) — porque elas decorrem da execução do contrato.

---

16. Alterações nesta política

Esta Política pode ser atualizada para refletir mudanças nos nossos serviços, na legislação ou nas melhores práticas de proteção de dados.

Quando houver alteração relevante:

• Publicamos a nova versão neste site, com a data da última atualização no topo.
• Mantemos o histórico de versões ao final do documento.
• Comunicamos você, com antecedência razoável, por e-mail ou outro canal cadastrado, quando a mudança afetar significativamente o tratamento dos seus dados.

Para tratamentos baseados em consentimento, podemos pedir uma nova manifestação sua quando a finalidade mudar de forma essencial.

---

17. Contato e Encarregado

Para qualquer assunto relativo a esta Política e ao tratamento dos seus dados:

• Privacidade e exercício de direitos (Encarregado/DPO): [E-MAIL DPO/PRIVACIDADE]
• Atendimento geral (SAC): [E-MAIL SAC]
• Telefone: [TELEFONE]
• WhatsApp oficial: [WHATSAPP OFICIAL]
• Endereço: [ENDEREÇO DA SEDE]

Atenção aos prazos:

• Solicitações relativas a dados pessoais (LGPD) são respondidas em até 15 dias corridos (art. 19, §1º da LGPD).
• Solicitações relativas a relação de consumo (CDC e e-commerce) são respondidas em até 5 dias (Decreto nº 7.962/2013, art. 4º, parágrafo único).

---

18. Glossário

Para facilitar a leitura, alguns termos da LGPD:

• Titular: pessoa natural a quem se referem os dados pessoais — você.
• Controlador: pessoa jurídica que decide as finalidades e meios do tratamento — a SushiJapaChan.
• Operador: terceiro que trata dados em nome do controlador (gateways, provedores de cloud, ferramentas de marketing).
• Encarregado (DPO): ponto de contato com você e com a ANPD para questões de proteção de dados.
• Tratamento: qualquer operação com dados pessoais (coleta, armazenamento, uso, compartilhamento, eliminação etc.).
• Dado pessoal: informação que identifica ou torna identificável uma pessoa.
• Dado pessoal sensível: dado sobre origem racial, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dados genéticos ou biométricos.
• Anonimização: procedimento que impede a identificação do titular, considerando meios técnicos razoáveis disponíveis no momento.
• Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento.
• Base legal: hipótese do art. 7º (ou 11) da LGPD que autoriza o tratamento.
• LIA (Avaliação de Legítimo Interesse): documento interno em que registramos a ponderação entre nossa finalidade e os direitos do titular quando usamos a base de legítimo interesse.
• ANPD: Autoridade Nacional de Proteção de Dados.

---

19. Histórico de versões

---

Este documento é a versão pública da Política de Privacidade da SushiJapaChan. Para dúvidas, sugestões ou exercício de direitos, escreva para [E-MAIL DPO/PRIVACIDADE].