Política de Privacidade

O controlador dos dados pessoais tratados para a operação da plataforma é a DELIVERY TECH LTDA, identificada acima. Para questões relativas a privacidade e proteção de dados, você pode falar com o nosso Encarregado pelo Tratamento de Dados Pessoais (DPO), Gabriel Nardello Pontel, pelo e-mail contato@chapalimpa.com.br, com o assunto "Privacidade".

Esta Política aplica-se a todos os usuários da plataforma: administradores e responsáveis pelas organizações contratantes, seus colaboradores que utilizam o sistema (inclusive em modo quiosque em dispositivo compartilhado) e visitantes do nosso site.

Para facilitar a leitura, adotamos as definições da LGPD:

• Dados pessoais: informação relacionada a pessoa natural identificada ou identificável.
• Titular: a pessoa natural a quem os dados pessoais se referem.
• Tratamento: qualquer operação com dados pessoais (coleta, uso, armazenamento, compartilhamento, eliminação, entre outras).
• Controlador: quem decide sobre o tratamento dos dados. Operador: quem trata os dados em nome do controlador.
• Organização (ou Cliente): a empresa ou o profissional que contrata o ChapaLimpa e cadastra unidades (filiais), membros e dados operacionais na plataforma.
• ANPD: Autoridade Nacional de Proteção de Dados.

O ChapaLimpa é uma plataforma multiempresa (multi-tenant) usada por organizações para gerir a própria operação. Por isso, atuamos em dois papéis distintos:

Somos controladores

Somos operadores

Nesses casos, a Organização é a controladora desses dados e é responsável por definir as finalidades, por ter base legal adequada e por informar os seus colaboradores e terceiros sobre o tratamento. Tratamos esses dados seguindo as instruções da Organização e o disposto nesta Política e nos Termos de Serviço. Se você é colaborador de uma Organização e deseja exercer direitos sobre esses dados, o pedido em regra deve ser dirigido à sua Organização; podemos apoiá-la no atendimento.

Dados de cadastro e identificação

Dados de autenticação e segurança

Dados da Organização e de qualificação comercial

Dados operacionais inseridos pela Organização

Dados fiscais e financeiros (módulo Financeiro)

Dados de assinatura e pagamento

Notificações

Dados de dispositivos e impressão

Dados de uso, registros e diagnóstico

Comunicação e suporte

Não buscamos coletar dados pessoais sensíveis (como origem racial, convicções religiosas, dados de saúde ou biométricos) e não utilizamos reconhecimento facial. Se a Organização inserir esse tipo de dado nos campos livres ou nas fotos, ela é responsável por ter a base legal adequada para tanto.

No site institucional utilizamos cookies e tecnologias semelhantes. Os cookies estritamente necessários viabilizam o funcionamento e a autenticação e não podem ser desativados.

Os cookies de analytics e de marketing (por exemplo, Google Analytics e Google Ads) só são ativados após o seu consentimento explícito no banner de cookies. Enquanto você não consentir, essas ferramentas permanecem desativadas. Você pode alterar a sua escolha a qualquer momento pelo banner ou pelas configurações do seu navegador.

O aplicativo móvel não utiliza ferramentas de analytics ou de publicidade.

Tratamos dados pessoais para as finalidades abaixo, apoiados nas seguintes bases legais da LGPD:

• Fornecer, manter e operar a plataforma e a sua conta — execução de contrato (art. 7º, V).
• Processar a assinatura, cobranças, faturas e a recuperação de pagamentos em atraso — execução de contrato e proteção do crédito (art. 7º, V e X).
• Cumprir obrigações legais e regulatórias, inclusive fiscais e tributárias, e atender a autoridades — cumprimento de obrigação legal ou regulatória (art. 7º, II).
• Garantir a segurança da informação, prevenir fraudes e abusos e apurar incidentes — legítimo interesse (art. 7º, IX).
• Prestar suporte, comunicar avisos sobre o serviço e melhorar a plataforma — execução de contrato e legítimo interesse (art. 7º, V e IX).
• Ativar recursos que dependem de escolha, como analytics de marketing, geolocalização e funcionalidades de inteligência artificial — consentimento (art. 7º, I), quando aplicável.
• Exercer direitos em processos e manter registros de auditoria — exercício regular de direitos (art. 7º, VI).

Não vendemos dados pessoais e não os utilizamos para publicidade de terceiros.

A plataforma oferece recursos opcionais de inteligência artificial, ativados por opção da Organização (e que podem ser desligados a qualquer momento). Quando ativos, esses recursos podem enviar a um provedor de IA: o texto do item do checklist e as fotos de evidência (para a verificação de fotos); indicadores agregados e desidentificados (para os relatórios narrativos); e descrições de produtos oriundas das notas fiscais (para a classificação de itens).

Os resultados da IA têm caráter auxiliar e informativo. Não tomamos decisões automatizadas que produzam efeitos jurídicos ou impactem significativamente o titular sem revisão humana — por exemplo, a verificação de foto apenas sugere uma revisão, que cabe a um gestor. Você pode solicitar informações sobre esses tratamentos pelos canais desta Política.

Compartilhamos dados pessoais nas seguintes situações:

• Dentro da sua Organização, com outros membros, conforme as permissões (papéis) configuradas.
• Com provedores que atuam como operadores para viabilizar o serviço, tratando dados sob nossas instruções.
• Com empresas do nosso grupo econômico (grupo Delivery Alliance), quando necessário para operar, dar suporte e administrar o serviço, sempre observando esta Política.
• Para cumprir obrigação legal, ordem de autoridade competente ou para exercer direitos.
• Em caso de reorganização societária, sempre preservando esta Política.

Os principais provedores/operadores, por categoria, são:

• Autenticação: Google e Apple (login).
• Pagamentos: Stripe.
• Armazenamento de arquivos (fotos, vídeos e documentos): Cloudflare R2 (infraestrutura localizada na Europa Ocidental). Os arquivos ficam em um repositório privado, acessível apenas por links temporários e assinados.
• Envio de notificações push: Expo, Google (FCM) e Apple (APNs).
• Envio de e-mails transacionais: nosso provedor de e-mail (SMTP).
• Autoridade fiscal: SEFAZ, para consulta e manifestação de NF-e em nome da Organização.
• Enriquecimento de produtos por código de barras (GTIN): serviços como o Open Food Facts — enviamos apenas o código de barras, sem dados pessoais.
• Mapas: OpenStreetMap, para exibir a localização de envios no site.
• Monitoramento de erros e diagnóstico: nossa própria instância de monitoramento (GlitchTip), hospedada em infraestrutura sob nosso controle.

A plataforma utiliza provedores e infraestrutura localizados em diferentes países, no Brasil e no exterior (notadamente na Europa e nos Estados Unidos). Por isso, determinados dados são transferidos e tratados fora do Brasil.

Em especial, os arquivos enviados à plataforma (como fotos de evidência, vídeos e documentos) são armazenados em infraestrutura de nuvem localizada na Europa Ocidental (Western Europe). Serviços de autenticação, pagamento, envio de notificações, envio de e-mails, inteligência artificial e mapas também podem tratar dados no exterior, conforme a localização de cada provedor indicado na seção anterior.

Os dados fiscais trocados com a SEFAZ permanecem em infraestrutura do governo brasileiro.

Nas transferências internacionais, adotamos as salvaguardas exigidas pela LGPD (art. 33), contratando fornecedores que ofereçam nível adequado de proteção e mantenham cláusulas contratuais compatíveis com a legislação brasileira de proteção de dados.

Adotamos medidas técnicas e organizacionais para proteger os dados, entre elas:

• Criptografia em trânsito (HTTPS/TLS) em toda a comunicação com a plataforma.
• Criptografia de segredos em repouso: o certificado digital A1 e a sua senha são cifrados com AES-256-GCM; PINs e tokens de sessão são armazenados como hash.
• Repositório de arquivos privado, com acesso apenas por links temporários assinados.
• Controle de acesso baseado em papéis (RBAC), segregação por organização e filial, e registros de auditoria.

Nenhum sistema é totalmente imune a incidentes. Caso ocorra um incidente de segurança que possa acarretar risco relevante aos titulares, comunicaremos os envolvidos e a ANPD conforme a legislação.

Mantemos os dados pessoais pelo tempo necessário às finalidades desta Política e enquanto durar a relação com a Organização, observando o seguinte:

• Documentos fiscais (NF-e) e registros correlatos são mantidos pelos prazos exigidos pela legislação fiscal e tributária.
• Registros de auditoria e de conformidade são mantidos como evidência operacional e para o exercício regular de direitos.
• Encerrada a conta, os dados de cadastro são anonimizados (ver seção seguinte), e os demais dados são eliminados ou anonimizados quando não houver mais base legal para a sua guarda.

Nos termos da LGPD (art. 18), você pode, a qualquer momento e mediante requisição:

• confirmar a existência de tratamento e acessar os seus dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• solicitar a anonimização, o bloqueio ou a eliminação de dados desnecessários ou tratados em desconformidade;
• solicitar a portabilidade dos dados;
• obter informação sobre com quem compartilhamos os seus dados;
• revogar o consentimento, quando o tratamento se basear nele;
• solicitar a revisão de decisões tomadas unicamente de forma automatizada, quando houver.

Para exercer esses direitos, escreva para contato@chapalimpa.com.br. Quando os dados forem tratados por nós na condição de operador (dados que a sua Organização inseriu), encaminharemos ou orientaremos o pedido à Organização controladora. Podemos precisar confirmar a sua identidade antes de atender à solicitação.

Você pode excluir a sua conta a qualquer momento, diretamente no aplicativo (Configurações → Conta) ou na versão web. Instruções detalhadas estão na página de exclusão de conta em app.chapalimpa.com.br/account-deletion.

A exclusão anonimiza os seus dados pessoais de cadastro: o nome é substituído, a foto, o PIN e as sessões são removidos, os tokens de notificação são apagados e o e-mail é substituído por um identificador que não permite associá-lo a você. Os envios de checklist e os registros de auditoria são preservados de forma anonimizada, pois constituem registros operacionais da Organização. Se você for o único responsável por uma organização, ela é encerrada junto com a sua conta.

O ChapaLimpa é uma ferramenta profissional (B2B), não direcionada a crianças ou adolescentes. O uso destina-se a maiores de 18 anos ou a quem esteja autorizado a agir em nome da Organização. Não coletamos intencionalmente dados de crianças e adolescentes.

Para exercer direitos ou esclarecer dúvidas sobre proteção de dados, fale com o nosso Encarregado pelo Tratamento de Dados Pessoais (DPO), Gabriel Nardello Pontel, pelo e-mail contato@chapalimpa.com.br, com o assunto "Privacidade".

Se entender necessário, você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).

Podemos atualizar esta Política para refletir mudanças na plataforma ou na legislação. Alterações relevantes serão comunicadas pelos canais usuais (por exemplo, aviso na plataforma ou por e-mail). A data da última atualização consta no início do documento.

DELIVERY TECH LTDA — CNPJ 67.270.099/0001-12. Rua São Luiz, nº 311, Bairro Santana, Porto Alegre/RS, CEP 90.620-170. E-mail: contato@chapalimpa.com.br.