Política de privacidade

Última atualização: 15 de outubro de 2026

Esta política explica como o Menu Online trata dados pessoais, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018). Ela vale tanto para os restaurantes que usam a plataforma quanto para quem faz pedidos pelos cardápios publicados.

Dois papéis diferentes

Conta do restaurante: somos o controlador dos dados de cadastro (nome e e-mail), dos dados de cobrança da assinatura e dos dados do negócio publicados no cardápio. A senha fica com o Clerk, nosso operador de autenticação, e nunca passa pelos nossos servidores.
Pedidos dos clientes: o restaurante é o controlador, e nós tratamos esses dados em nome dele. O pedido é montado no navegador do cliente e enviado por ele mesmo ao WhatsApp do restaurante. Quando o cliente toca em “Fazer pedido pelo WhatsApp”, guardamos para o restaurante uma cópia do pedido, que ele consulta no painel: o código, a data, os itens, os valores, se é entrega ou retirada, e o nome e o WhatsApp de quem pediu. Com esses pedidos o restaurante tem, de cada cliente, uma ficha com a conta dos pedidos e o que ele mesmo anotar (veja “Dados que coletamos”). O endereço de entrega não é guardado: dele, só o CEP digitado passa pelo nosso servidor, para achar o endereço e calcular a entrega. À parte, contamos quantos pedidos saíram de cada cardápio por dia, sem o conteúdo deles (veja “Cookies e medição de audiência”).

Dados que coletamos

Conta: nome e e-mail, espelhados do Clerk, o identificador da conta no Clerk e a data de criação. A senha (ou o acesso por código ou conta Google) é tratada pelo Clerk; não a recebemos nem guardamos. Quando você aceita os termos na criação da conta, a data do aceite fica registrada no Clerk.
Cobrança: os identificadores do cliente e da assinatura na Stripe e, de cada cobrança, o valor, a moeda, a data, o status e o link da fatura. Também ficam registrados os períodos pagos por fora da Stripe e a marca de cortesia, quando houver. Não recebemos nem guardamos dados de cartão — ele é digitado na página da Stripe. No Pix Automático, o CPF ou CNPJ de quem paga é pedido pela Stripe e informado na página dela: não passa pelo nosso site nem fica guardado conosco. De quem assinou por Pix pelo Asaas, antes de a cobrança passar para a Stripe, continuam guardados com a conta, até ela ser excluída, o CPF ou CNPJ informado na época, os identificadores do cliente e da assinatura no Asaas e o histórico dessas cobranças.
Negócio: dados que você publica no cardápio — nome, descrição, endereço e a posição dele no mapa, WhatsApp, Instagram, Facebook, horários, área e taxas de entrega, logo, capa, itens, preços e fotos. São públicos por natureza: ficam na página do cardápio, que é oferecida a buscadores. Guardamos também as 10 últimas versões do cardápio, para que uma alteração errada possa ser desfeita.
Importação de cardápio: ao importar pelo link, enviamos à Apify o endereço público da sua loja no aplicativo de entrega (iFood, Uber Eats ou Glovo) — nenhum dado da sua conta vai junto — e recebemos de volta categorias, itens, preços, complementos e fotos, que copiamos para o nosso armazenamento. Ao importar por fotos do cardápio impresso, as fotos são enviadas à Anthropic, cujo modelo de inteligência artificial (Claude) as transcreve; não guardamos essas fotos, só o cardápio transcrito. A página salva do iFood é lida no nosso servidor e não é guardada.
Sessão: os cookies de sessão do Clerk (__session, __client_uat), estritamente necessários para manter você conectado. Não usamos cookies de publicidade. A lista completa e a medição de audiência, que é opcional, estão em “Cookies e medição de audiência”, abaixo.
Pedidos do cliente final: de cada pedido que o cliente leva ao WhatsApp por um cardápio publicado, guardamos o código, a data e a hora, os itens com complementos e observações, os valores, se é entrega ou retirada, e o nome e o WhatsApp informados. O restaurante vê esses pedidos no painel, agrupados por cliente, e pode apagá-los, um a um ou todos os de um cliente. Ficam os 5 pedidos mais recentes de cada cliente em cada restaurante, por até 12 meses. O endereço de entrega não é guardado. O registro é feito quando a conversa é aberta: se a mensagem foi mesmo enviada, só o restaurante sabe.
Ficha do cliente final: com os pedidos, o restaurante tem no painel uma ficha de cada cliente: o nome e o WhatsApp, quantos pedidos ele fez, quanto somam e as datas do primeiro e do último. O restaurante pode acrescentar uma anotação e etiquetas próprias, marcar que o cliente pediu para não ser procurado e usar o WhatsApp informado para falar com ele — por exemplo, para sugerir o último pedido. Essa mensagem é escrita e enviada pelo restaurante, do WhatsApp dele: nós não enviamos mensagens aos clientes. A ficha fica enquanto houver pedido guardado daquele cliente — no máximo 12 meses depois do último — e sai antes se o restaurante a apagar. Para o restaurante ver o movimento do mês, guardamos também somas que não dizem quem pediu: quantos pedidos, quanto somaram, os itens mais pedidos e os pedidos por hora e por dia da semana, por até 13 meses.
CEP do cliente final: quando o cliente digita o CEP no pedido, o navegador o envia ao nosso servidor, que consulta o ViaCEP para achar o endereço e, nas lojas que cobram a entrega por distância, o OpenStreetMap para achar o ponto no mapa. A consulta sai do nosso servidor: esses serviços não veem o IP do cliente. Não guardamos o CEP ligado a uma pessoa — a resposta fica só na memória do servidor, por até 24 horas, para não repetir a consulta. A distância e a taxa de entrega são calculadas no próprio navegador.
No navegador do cliente final: o carrinho de cada restaurante e os dados de entrega (nome, WhatsApp, endereço e CEP) ficam no armazenamento local do aparelho, para não precisar digitar tudo de novo. Os dados de entrega valem para todos os cardápios do Menu Online abertos naquele navegador e ficam ali até o cliente limpar os dados do site; o link do último pedido enviado fica só até a aba ser fechada. Disso, aos nossos servidores só chegam o CEP (item acima) e, quando o pedido é feito, o nome e o WhatsApp, junto com o pedido (veja “Pedidos do cliente final”); o endereço fica no aparelho e na mensagem.
Endereço IP e registros técnicos: para conter abuso, guardamos por pouco tempo o endereço IP de quem abre um cardápio, faz um pedido, usa a busca de CEP, a busca de endereço do painel ou o relatório de erros, ou responde ao aviso de cookies, junto a um contador de uso: a janela vai de 10 minutos a 1 hora, e os registros vencidos são apagados em até um dia. Um erro no site gera um registro técnico com a página e a mensagem do erro, sem IP e sem identificar quem navegava. O país da conexão, informado pela hospedagem, é usado no painel para escolher as plataformas de importação e as formas de pagamento mostradas, e não é guardado.

Cookies e medição de audiência

O site usa poucos cookies. Os essenciais não dependem de consentimento; a medição de audiência só é ligada se você aceitar no aviso de cookies.

Sessão (essencial): os cookies do Clerk, como __session e __client_uat, que mantêm você conectado ao painel.
Idioma (essencial): NEXT_LOCALE, gravado quando você troca o idioma do site, por um ano.
Sua escolha (essencial): menuqr_consent, que guarda por seis meses se você aceitou ou recusou a medição. Depois disso, o aviso pergunta de novo.
Painel (essencial): menuqr.setup.*, que lembra se o guia de configuração do lojista está aberto ou recolhido.
Medição de audiência (opcional): com o seu aceite, o Vercel Web Analytics conta páginas vistas e visitantes. Ele não grava cookies nem usa identificadores de publicidade: o visitante é reconhecido por um código derivado da requisição, descartado em até 24 horas. Ficam registrados o caminho da página, a origem da visita, o país e a região, o tipo de aparelho, o sistema e o navegador. Sem o aceite, o script nem é carregado.
Contagem das escolhas: registramos apenas quantas pessoas aceitaram e quantas recusaram a medição em cada dia, sem nada que identifique quem escolheu.
Contagem dos cardápios: somamos, por dia, quantas vezes cada cardápio foi aberto e quantas vezes o botão “Fazer pedido pelo WhatsApp” foi tocado. É só a soma: não usa cookies nem grava nada no aparelho, e a contagem não diz o que foi pedido nem quem abriu ou pediu — a cópia do pedido que o restaurante vê no painel é outro registro (veja “Dados que coletamos”). Por isso não depende do aviso de cookies.

Para mudar a sua escolha a qualquer momento, abra , também disponível no rodapé do site e dos cardápios.

Para que usamos

Manter sua conta, autenticar o acesso e publicar o cardápio (execução de contrato).
Cobrar a assinatura, mostrar o histórico e os comprovantes e avisar do vencimento no painel (execução de contrato).
Importar o cardápio a seu pedido (execução de contrato).
Achar o endereço pelo CEP e calcular a entrega do pedido, a pedido do cliente.
Guardar os últimos pedidos e a ficha de cada cliente para o restaurante consultar no painel e atender os clientes dele, em nome do restaurante.
Mostrar avisos sobre o serviço no painel. Não enviamos e-mail de marketing: os e-mails que você recebe são os de acesso (confirmação do e-mail, código de entrada, redefinição de senha), enviados pelo Clerk, e os que a Stripe enviar sobre o pagamento.
Proteger o serviço contra abuso, investigar erros e prestar suporte (legítimo interesse).
Cumprir obrigações legais aplicáveis.

Não vendemos dados e não os compartilhamos com terceiros para fins de marketing.

Operadores e transferência internacional

Estes serviços tratam dados em nosso nome, cada um só para a sua função:

Clerk (autenticação): e-mail, nome, credenciais de acesso e a data do aceite dos termos. Nas telas de entrar e criar conta, o Clerk pode acionar a verificação antirrobô da Cloudflare, carregada no seu navegador. Estados Unidos.
Turso (banco de dados) e Vercel (hospedagem e CDN): os dados da conta, do negócio e do cardápio, inclusive as fotos, e os registros técnicos do servidor. A Vercel também faz a medição de audiência, só de quem a aceitou no aviso de cookies, com dados agregados que não identificam o visitante. Estados Unidos.
Stripe (processador de pagamento da assinatura): o nome e o e-mail da conta e os dados de pagamento que você informa direto no Checkout da Stripe — o número do cartão não passa por nós. Estados Unidos. No Pix Automático, o pagamento é processado pela Stripe e pela parceira dela para o Pix, a EBANX — é o nome que aparece como recebedor no extrato do seu banco. Para isso, o Checkout da Stripe pede o CPF ou CNPJ de quem paga, que não passa pelo nosso site nem fica guardado conosco.
Apify (importação de cardápio pelo link): recebe o endereço público da loja no aplicativo de entrega e devolve o cardápio lido de lá, por meio de ferramentas de extração de terceiros hospedadas na própria Apify. Não recebe dados da sua conta. Empresa da República Tcheca; os dados podem ser processados nos Estados Unidos.
Google (Gemini, leitura das fotos do cardápio impresso por inteligência artificial): recebe as fotos que você envia para a importação e devolve o texto do cardápio. Estados Unidos.
Anthropic (leitura das fotos do cardápio impresso por inteligência artificial): recebe as fotos que você envia para a importação e devolve o texto do cardápio. Estados Unidos.
ViaCEP (Brasil) e OpenStreetMap (Reino Unido): serviços públicos de consulta de CEP e de endereço. Recebem do nosso servidor só o CEP ou o endereço consultado — o do restaurante, no painel, ou o que o CEP do cliente indicou —, sem nada que identifique a pessoa. No painel, o mapa da área de entrega é carregado do OpenStreetMap direto pelo navegador do lojista, e por isso o OpenStreetMap vê o endereço IP dele.
Asaas Gestão Financeira Instituição de Pagamento S.A. (cobrança da assinatura por Pix antes da Stripe, encerrada): não enviamos mais dados ao Asaas. De quem pagou por Pix pelo Asaas, antes de a cobrança passar para a Stripe, o Asaas mantém os registros que já tinha — nome, e-mail, CPF ou CNPJ e celular do titular e as cobranças feitas — pelo prazo de guarda que a lei impõe a ele. Brasil.

A transferência para fora do Brasil — para os Estados Unidos e, no caso da Apify e do OpenStreetMap, para a Europa — se apoia, com os operadores que contratamos, em cláusulas contratuais padrão, conforme o art. 33 da LGPD.

Acesso da nossa equipe

Na nossa equipe, só os administradores da plataforma têm acesso aos dados das contas. Eles veem, de cada conta: nome, e-mail, data de criação, identificadores no Clerk e na Stripe, assinaturas e cobranças, o restaurante, o cardápio e as versões guardadas dele. O CPF ou CNPJ que ficou do tempo do Asaas não é mostrado a ninguém. Para dar suporte, um administrador pode entrar no painel de uma conta em nome do lojista, por até duas horas de cada vez, sem ver a senha e sem poder assinar, cancelar, trocar a forma de pagamento, alterar o acesso ou excluir a conta. Nesse acesso ele vê o que o lojista vê, inclusive os clientes e os pedidos guardados no painel. Cada ação de administração e cada alteração feita nesse acesso deixa um registro técnico com o e-mail do administrador e a conta afetada.

Compartilhamento com o WhatsApp

A finalização do pedido acontece no WhatsApp. Ao tocar em “Fazer pedido pelo WhatsApp”, a mensagem — com o código do pedido, os itens, os valores, o nome, o WhatsApp e, na entrega, o endereço do cliente — é aberta no aplicativo e enviada pelo próprio cliente ao restaurante. A partir daí, o tratamento também segue as políticas do WhatsApp (Meta Platforms).

Retenção e exclusão

Mantemos os dados da conta enquanto ela existir; não apagamos contas por inatividade. Você pode excluir a conta e o cardápio a qualquer momento, sem depender de nós, em Conta › Excluir conta, no painel. A exclusão vale na hora: a assinatura é encerrada na Stripe, sem novas cobranças; o cadastro, o negócio, o cardápio, as fotos, as versões guardadas, os pedidos e as fichas de clientes guardados e o histórico de assinaturas e cobranças são apagados do nosso banco de dados; o acesso é apagado no Clerk; e o link público e o QR code param de funcionar.

O que fica depois da exclusão: na Stripe, o cadastro de cliente (nome e e-mail) e as faturas, pelo prazo que a lei exige — e, para quem pagou por Pix pelo Asaas, antes de a cobrança passar para a Stripe, os registros que o Asaas já tinha; por até 30 dias, os identificadores dos eventos que a Stripe e o Clerk nos enviaram; os registros técnicos do servidor, pelo prazo de retenção da hospedagem; e uma cópia das fotos, que pode seguir no cache da CDN e de buscadores por até 12 meses, nos endereços que elas já tinham.

Outros prazos: fotos enviadas e não usadas no cardápio são apagadas depois de um dia; guardamos as 10 últimas versões do cardápio e, por 15 minutos, o estado anterior a uma alteração grande, para ela poder ser desfeita; os pedidos guardados para o restaurante ficam por até 12 meses, no máximo os 5 mais recentes de cada cliente, a ficha do cliente fica enquanto houver pedido guardado dele, e o restaurante pode apagar os dois antes; as somas do mês, que não identificam ninguém, ficam por até 13 meses; os dados no navegador do cliente final ficam no aparelho dele até serem limpos.

Se preferir, ou se não conseguir entrar no painel, peça a exclusão escrevendo para ; nesse caso concluímos a remoção em até 15 dias.

Seus direitos

Você pode pedir confirmação de tratamento, acesso, correção, portabilidade, anonimização ou exclusão dos seus dados, além de revogar consentimentos, pelo mesmo e-mail, e tem o direito de reclamar à Autoridade Nacional de Proteção de Dados (ANPD). Sobre os dados de um pedido, quem responde é o restaurante que o recebeu: procure o estabelecimento, que pode apagar no painel a ficha e os pedidos guardados de um cliente, ou marcar que ele não quer ser procurado. Os dados guardados no seu navegador você mesmo apaga, limpando os dados do site.

Segurança

A plataforma é servida por HTTPS, com cabeçalhos de segurança que reduzem risco de interceptação e injeção de conteúdo. A autenticação é do Clerk: a sua senha não passa pelos nossos servidores. As fotos enviadas pelo painel são recodificadas no seu aparelho antes do envio, o que remove metadados como a localização. O acesso de administração é restrito a contas designadas, com e-mail verificado. Nenhum sistema é totalmente imune a incidentes: se algum ocorrer com risco relevante, comunicaremos os afetados e a ANPD.

Alterações

Podemos atualizar este texto para refletir mudanças no serviço ou na legislação. A data no topo indica a versão vigente.