Política de Privacidade

O Cliento lida com dois grupos: o dono do estabelecimento, que tem conta no sistema, e o cliente final, que escaneia o QR e deixa uma avaliação. As regras não são as mesmas para os dois, então elas aparecem separadas abaixo.

Coletamos o que a conta precisa para existir:

• nome, email e, se você quiser, telefone;
• a senha, guardada apenas como hash (scrypt). Nem nós conseguimos ler a sua senha;
• dados do estabelecimento: nome, endereço da página, link de avaliação do Google e WhatsApp de contato;
• histórico de cobranças: valor, data e situação de pagamento.

O CPF ou CNPJ é pedido no cadastro e recebe tratamento diferente dos demais campos:

• o número não é guardado em texto legível. Guardamos uma impressão digital criptográfica dele (HMAC-SHA256), da qual não é possível recuperar o número original;
• guardamos também os três últimos dígitos, apenas para o suporte confirmar identidade;
• na hora de contratar, o número completo é digitado de novo e enviado diretamente à instituição de pagamento, que precisa dele para emitir a cobrança. Ele não fica no nosso banco.

Para que serve: garantir uma conta por pessoa e um período de teste gratuito por pessoa. A impressão digital do documento é conservada mesmo depois que a conta é encerrada, exatamente para impedir que a mesma pessoa recrie a conta e obtenha um novo período gratuito. Ela não permite identificar ninguém nem reconstruir o número.

Base legal: execução do contrato entre você e o Cliento; cumprimento de obrigações legais e fiscais, no caso dos dados de cobrança; e legítimo interesse na prevenção de fraude e abuso (artigo 7º, IX, da LGPD), no caso da impressão digital do documento.

Quando alguém avalia pelo QR code, guardamos:

• a nota e, se escrito, o comentário;
• nome e contato, ambos opcionais. Dá para avaliar sem se identificar, e a avaliação vale igual;
• se o QR veio da mesa ou da embalagem do delivery;
• um identificador do aparelho e do endereço de IP, guardados apenas como hash, nunca legíveis.

Os dois últimos existem para um fim só: perceber quando o mesmo aparelho avalia várias vezes o mesmo estabelecimento, o que pode ser um concorrente tentando derrubar a nota. O painel avisa o dono; não bloqueia ninguém. Como são hashes, não é possível recuperar o IP nem identificar a pessoa a partir deles: o produto precisa saber se duas avaliações vieram do mesmo lugar, e nunca precisa saber qual era o lugar.

Base legal: legítimo interesse do estabelecimento em conhecer a satisfação dos seus clientes e em detectar avaliação fraudulenta, e consentimento quanto ao nome e contato, que só são coletados se a pessoa escolher preencher.

Quanto a essas avaliações, o estabelecimento é o controlador dos dados e o Cliento atua como operador, seguindo as instruções dele.

Só dois, os dois necessários para o serviço funcionar:

• cliento_session: mantém o dono logado no painel. Expira em 30 dias.
• cliento_visitante: um número aleatório no navegador de quem avalia, usado para gerar o hash de aparelho descrito acima.

Os dois são HttpOnly: o JavaScript da página não consegue lê-los. Não usamos cookie de publicidade, pixel de rede social nem ferramenta de rastreamento de terceiros. A página de avaliação não faz nenhuma requisição para fora do próprio servidor.

Com ninguém para fins de marketing. Nada é vendido. Os únicos terceiros envolvidos são a infraestrutura necessária para o serviço rodar:

• hospedagem e banco de dados, para armazenar e servir a aplicação;
• provedor de email transacional, para entregar o aviso de nota baixa ao dono;
• instituição de pagamento autorizada pelo Banco Central, para emitir e processar as cobranças.

Parte dessa infraestrutura pode estar fora do Brasil. Nesses casos, a transferência internacional acontece nos termos dos artigos 33 e seguintes da LGPD.

Cada dono enxerga apenas os próprios dados, e isso não depende do código da aplicação lembrar de filtrar: a separação é imposta pelo próprio banco de dados, por políticas de segurança em nível de linha. A aplicação se conecta com um usuário que não tem permissão para ignorá-las.

Dados da conta e avaliações ficam enquanto a conta existir. Encerrada a conta, os dados do estabelecimento e as avaliações vinculadas a ele são excluídos.

Uma única informação sobrevive ao encerramento: a impressão digital do CPF ou CNPJ, conservada para impedir que a mesma pessoa recrie a conta e obtenha um novo período de teste gratuito. Como ela é irreversível, não identifica ninguém e não permite reconstruir o documento.

Registros de cobrança podem ser mantidos pelo prazo exigido pela legislação fiscal, mesmo depois do encerramento.

A LGPD garante a você confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revogação de consentimento.

Para exercer qualquer um deles, escreva para contato@cliento.app.br. Respondemos em até 15 dias.

Se você avaliou um estabelecimento e quer que a sua avaliação seja apagada, pode falar direto com o estabelecimento ou conosco, e nos dois casos ela é removida.

Senhas são guardadas como hash com scrypt. Sessões trafegam por um token aleatório de 256 bits do qual o banco guarda apenas o hash SHA-256, então uma cópia do banco não permite se passar por ninguém. Todo o tráfego é por HTTPS.

Nenhum sistema é imune. Se acontecer um incidente que possa causar risco relevante, avisaremos os afetados e a Autoridade Nacional de Proteção de Dados, como manda o artigo 48 da LGPD.