Política de privacidade

Esta política explica quais dados pessoais a EatPay trata, por que, com quem compartilha e quais são os seus direitos. Ela vale para o site eatpay.com.br, o aplicativo eatpay (para pais e responsáveis), o totem de autoatendimento eatpay Totem e o painel de gestão usado pelas escolas e cantinas. Seguimos a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, “LGPD”) e o Estatuto da Criança e do Adolescente.

1. Quem somos

EatPay, plataforma de gestão e pagamento para cantinas escolares, com sede em São Paulo, SP, Brasil. A empresa está em constituição; o CNPJ será publicado nesta página assim que emitido. Contato para qualquer assunto de privacidade: contato@eatpay.com.br.

2. Quem decide sobre os dados

• A EatPay é controladora dos dados da conta do responsável no aplicativo (nome, e-mail, preferências) e dos dados de quem visita o site.
• A escola ou a cantina é controladora dos dados dos alunos e da operação que ela cadastra e usa no dia a dia (turmas, cardápio, vendas, saldos). Nesses casos a EatPay atua como operadora: trata os dados só para prestar o serviço contratado e conforme as instruções da escola ou da cantina.

3. Dados que tratamos

Responsáveis (aplicativo eatpay)

• Nome, e-mail e senha (a senha é guardada pelo provedor de autenticação, nunca em texto).
• Vínculo com os alunos pelos quais você responde e o tipo de vínculo.
• Preferências de aviso (por exemplo, receber comprovante por e-mail) e o identificador do aparelho para notificações.
• Recargas, limites e regras que você define para cada aluno.

Alunos

• Nome, turma, escola e, quando informada, data de nascimento.
• Meios de identificação na cantina: código da tag ou cartão (NFC) e PIN.
• Saldo, recargas, compras, itens consumidos, descontos e comprovantes.
• Restrições alimentares e alergias, quando informadas, usadas para bloquear itens no totem e no caixa. São dados de saúde, tratados como dados sensíveis (veja a seção 4).

Equipe da escola e da cantina

• Nome, e-mail, perfil de acesso e registro das ações feitas no painel (trilha de auditoria).

Totem de autoatendimento

• Identificação do aparelho e da cantina, e as vendas feitas nele.
• A câmera do totem é usada apenas para ler o QR code de ativação do aparelho. Não fazemos reconhecimento facial nem guardamos imagens dos alunos.

Visitantes do site

• Dados que você envia no formulário de contato (nome, escola, e-mail, telefone).
• Dados de navegação coletados pelo Google Analytics (páginas visitadas, tipo de aparelho, região aproximada), usados de forma agregada para melhorar o site.

Registros técnicos

• Endereço IP, data e hora de acesso e registros de erro, guardados pelo prazo do Marco Civil da Internet (6 meses) e usados para segurança e correção de falhas.

4. Dados de crianças e adolescentes

Os alunos são, em geral, menores de idade. Por isso:

• O aluno não cria conta. O cadastro é feito pela escola, pela cantina ou pelo responsável legal, e os dados são tratados sempre no melhor interesse da criança (art. 14 da LGPD).
• Alergias e restrições alimentares só são registradas com o consentimento específico do responsável ou para cumprir a obrigação da escola de proteger a saúde do aluno, e servem apenas para impedir a venda de itens inadequados.
• O histórico individual de consumo é visto apenas pelos responsáveis vinculados ao aluno e pela equipe autorizada da escola e da cantina.
• Não usamos dados de alunos para publicidade, não criamos perfis para fins de marketing e não vendemos dados.

5. Para que usamos os dados e com qual base legal

• Prestar o serviço (identificar o aluno, registrar vendas, controlar saldo, mostrar o histórico ao responsável, emitir comprovantes): execução de contrato (art. 7º, V).
• Proteger a saúde do aluno com o bloqueio de alérgenos: consentimento do responsável ou tutela da saúde (art. 11, I e II, “f”).
• Avisos e comprovantes por notificação e e-mail: execução de contrato. Você pode desligar o e-mail de comprovante no aplicativo.
• Registros financeiros e fiscais: cumprimento de obrigação legal (art. 7º, II).
• Segurança, prevenção a fraudes e correção de erros: legítimo interesse (art. 7º, IX) e obrigação legal de guarda de registros.
• Melhoria do site com estatísticas de navegação: legítimo interesse.

6. Com quem compartilhamos

• Com a escola e a cantina a que o aluno pertence.
• Com os responsáveis vinculados ao aluno.
• Com prestadores que operam a plataforma em nosso nome, sob contrato e só para essa finalidade: Supabase (autenticação), Railway (servidores e banco de dados), Vercel (hospedagem do site e do painel), Resend (envio de e-mails), Expo e Google Firebase (notificações no celular), Sentry (registro de erros) e Google Analytics (estatísticas do site).
• Com a instituição de pagamento que processa as recargas (prevista: Stone), quando o pagamento on-line estiver disponível.
• Com autoridades públicas, quando houver obrigação legal ou ordem judicial.

Alguns desses prestadores guardam dados em servidores fora do Brasil, principalmente nos Estados Unidos. Nesses casos a transferência segue o art. 33 da LGPD, com contratos que exigem nível de proteção adequado.

7. Pagamentos

Os dados do cartão ou da conta usados numa recarga são informados diretamente à instituição de pagamento. A EatPay não recebe nem guarda o número completo do cartão; guardamos apenas o registro da transação (valor, data, situação e identificador).

8. Por quanto tempo guardamos

• Dados da conta e do aluno: enquanto a conta ou o contrato com a escola estiver ativo.
• Registros financeiros (vendas, recargas, saldos): 5 anos depois da última movimentação, para cumprir obrigações legais e permitir a defesa em eventuais disputas.
• Registros de acesso: 6 meses.
• Encerrado o prazo, ou atendido um pedido de exclusão, os dados são apagados ou anonimizados, salvo os que a lei obrigue a manter.

9. Segurança

Usamos conexão criptografada (HTTPS) em toda a comunicação, controle de acesso por perfil, separação dos dados por escola, autenticação dos totens e trilha de auditoria das ações administrativas. Nenhum sistema é totalmente imune a incidentes; se ocorrer um que possa gerar risco relevante, avisaremos os afetados e a Autoridade Nacional de Proteção de Dados (ANPD), como determina a lei.

10. Seus direitos

Pelo art. 18 da LGPD, você pode pedir, a qualquer momento:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos ou desatualizados;
• anonimização, bloqueio ou exclusão de dados desnecessários ou tratados em desacordo com a lei;
• portabilidade dos dados;
• informação sobre com quem compartilhamos;
• revogação do consentimento e exclusão dos dados tratados com base nele.

Envie o pedido para contato@eatpay.com.br a partir do e-mail da sua conta. Respondemos em até 15 dias. Quando o pedido tratar de dados que a escola ou a cantina controla, encaminhamos a ela e acompanhamos a resposta. Você também pode reclamar à ANPD.

11. Exclusão de conta

Para excluir a sua conta de responsável no aplicativo eatpay, escreva para contato@eatpay.com.br com o assunto “Excluir minha conta”, a partir do e-mail cadastrado. Confirmamos a exclusão em até 15 dias.

• São apagados: seu nome, e-mail, acesso, preferências e vínculos com alunos.
• São mantidos pelo prazo da seção 8: os registros financeiros das recargas e compras, que a lei obriga a guardar, sem uso para outra finalidade.
• O cadastro do aluno continua com a escola, que é a responsável por ele. Para excluí-lo, fale com a escola ou com a gente.

12. Contato e mudanças nesta política

Dúvidas, pedidos ou reclamações sobre privacidade: contato@eatpay.com.br. Este é o nosso canal de comunicação com os titulares de dados.

Podemos atualizar esta política. A data no topo indica a versão em vigor; mudanças relevantes serão avisadas no aplicativo ou por e-mail.