Política de Privacidade

1. Controlador dos dados

O tratamento de dados pessoais descrito aqui é realizado por KHONTRA SISTEMAS LTDA., CNPJ 68.262.665/0001-07, operadora do Cumbaru, na condição de controladora em relação aos dados de cadastro e uso da plataforma.

Em relação aos dados que você insere sobre a operação do seu restaurante, atuamos como operadora: tratamos esses dados seguindo as suas instruções, dentro das finalidades do serviço.

Esta é a versão 1.0, em vigor desde 19 de agosto de 2026.

2. Encarregado pelo tratamento de dados

Nos termos do art. 41 da LGPD, o canal de comunicação entre você, a ANPD e nós é o encarregado (DPO):

• Encarregado: Haniel Cortes
• E-mail: [email protected]
• Endereço: Q ACSV SE 32 AV LO 05, nº 22 — Plano Diretor Sul, Palmas/TO, CEP 77.021-026

Use esse canal para dúvidas, solicitações e para exercer qualquer um dos direitos listados na seção 8. Respondemos em até 15 dias.

3. Quais dados coletamos

Dados que você fornece

• Cadastro: nome, e-mail, senha (armazenada com hash), empresa e unidades.
• Faturamento: CPF ou CNPJ do titular e dados de cobrança, tratados diretamente pelo Asaas. Não recebemos nem armazenamos o número completo do cartão.
• Operação: insumos, fornecedores, fichas técnicas, preços, produção e estoque. Em regra não são dados pessoais, mas podem conter, por exemplo, nome de contato de fornecedor.
• Suporte: o conteúdo das mensagens que você nos envia.
• Assistente por WhatsApp (opcional): se você ativar, seu número de telefone, o conteúdo das mensagens e a transcrição dos áudios enviados ao assistente.

Dados coletados automaticamente

• Endereço IP, tipo de navegador e dispositivo, páginas visitadas e horários de acesso.
• Registro de aceite: ao criar a conta, gravamos a versão dos documentos exibida, a data e hora do aceite, o endereço IP e o navegador/dispositivo de origem. É a prova da contratação — ver a cláusula 2 dos Termos de Uso.
• Registros técnicos (logs) de uso da aplicação, para segurança e diagnóstico.

4. Para que usamos e com qual base legal

Finalidade	Base legal (LGPD)
Criar e manter sua conta, prestar o serviço contratado	Execução de contrato (art. 7º, V)
Registrar o aceite dos Termos e desta Política (versão, data/hora, IP, dispositivo)	Execução de contrato e exercício regular de direitos (art. 7º, V e VI)
Cobrança, emissão de recibos e controle de assinatura	Execução de contrato e obrigação legal (art. 7º, V e II)
Suporte ao usuário	Execução de contrato (art. 7º, V)
Segurança, prevenção a fraude e registro de acessos	Legítimo interesse e obrigação legal (art. 7º, IX e II)
Melhoria do produto a partir de métricas de uso	Legítimo interesse (art. 7º, IX)
Comunicações sobre novidades e conteúdo	Consentimento (art. 7º, I), revogável a qualquer momento
Citar sua empresa como cliente (nome e logotipo), nos limites da cláusula 9 dos Termos. Se você atua como pessoa física ou MEI e a citação envolver seu nome pessoal, a base é consentimento	Execução de contrato e legítimo interesse (art. 7º, V e IX) — ou consentimento (art. 7º, I)

5. Com quem compartilhamos

Não vendemos dados pessoais e não os cedemos a terceiros para publicidade de terceiros. Compartilhamos apenas com prestadores necessários à operação do serviço, que tratam os dados conforme nossas instruções:

Prestador	Finalidade	Local
Railway	Hospedagem da aplicação e do banco de dados	Estados Unidos
Asaas	Processamento de pagamentos e assinaturas (Pix e cartão)	Brasil
Resend	Envio de e-mails transacionais	Estados Unidos
Cloudflare	DNS, CDN e proteção do site	Global
Meta (WhatsApp)	Canal do assistente por mensagens (opcional)	Estados Unidos
Groq	Transcrição dos áudios enviados ao assistente (opcional)	Estados Unidos
DeepSeek	Interpretação do texto enviado ao assistente (opcional)	China

Os três últimos se aplicam apenas se você ativar o assistente por WhatsApp. Nesse caso:

• as mensagens trafegam pela infraestrutura do WhatsApp, operado pela Meta, sujeitas também aos termos e à política de privacidade dela;
• se você mandar um áudio, ele é transcrito em texto antes de ser interpretado;
• o texto (digitado ou transcrito) é processado para extrair a intenção do comando — por exemplo, “entrou 10 kg de tomate”.

Nesse processamento não enviamos suas fichas técnicas, sua base de custos nem dados de outros usuários: vai apenas o conteúdo da mensagem. O arquivo de áudio não é armazenado nos nossos servidores — guardamos a transcrição em texto e o registro da mensagem, para você poder conferir depois o que foi lançado.

Também podemos compartilhar dados para cumprir ordem judicial ou obrigação legal, e em caso de reorganização societária, mantidas as mesmas proteções.

6. Transferência internacional

Parte dos prestadores acima está fora do Brasil. Nesses casos a transferência ocorre com base no art. 33 da LGPD, mediante cláusulas contratuais e garantias de proteção equivalentes às previstas na legislação brasileira.

7. Por quanto tempo guardamos

• Conta ativa: enquanto durar a relação contratual.
• Após o encerramento: até 90 dias, para permitir reativação, e então exclusão.
• Registros fiscais e financeiros: 5 anos, por obrigação legal.
• Logs de acesso: 6 meses, conforme o Marco Civil da Internet.
• Registro de aceite: enquanto durar a relação contratual e por 5 anos após o encerramento — é o prazo em que a contratação ainda pode ser discutida, e sem o registro nenhuma das partes conseguiria demonstrar o que foi acordado.

8. Seus direitos

A LGPD garante a você o direito de:

• confirmar a existência de tratamento e acessar seus dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• solicitar a portabilidade dos dados;
• revogar consentimento e se opor a tratamentos baseados em legítimo interesse;
• ser informado sobre com quem compartilhamos seus dados;
• solicitar a revisão de decisões automatizadas (art. 20). Na prática isto se aplica ao assistente por WhatsApp, que interpreta suas mensagens e gera lançamentos de estoque: todo lançamento fica visível e editável no aplicativo, e você pode pedir nossa revisão do que foi interpretado.

Para exercer qualquer um deles, escreva para o encarregado: [email protected]. Respondemos em até 15 dias.

O registro de aceite (seção 3) é uma exceção ao pedido de eliminação enquanto durar o prazo da seção 7: ele existe justamente para provar o que foi contratado, e apagá-lo a pedido esvaziaria a garantia que ele dá aos dois lados.

9. Cookies

Hoje o site institucional (cumbaru.com) usa apenas cookies necessários — os que mantêm o site funcionando e guardam a sua preferência sobre esta própria seção. Não há cookie de análise, de publicidade ou de rastreamento de terceiro em uso, e nada é compartilhado com plataforma de anúncio.

Se voltarmos a adotar cookies de análise ou de campanha, eles só serão carregados depois que você aceitar num aviso exibido na primeira visita — recusar, ou apenas ignorar o aviso, mantém a página sem nenhum script de terceiro. A escolha fica disponível para revisão a qualquer momento pelo link Gerenciar cookies no rodapé, e esta Política é atualizada antes de a mudança entrar no ar.

Você também pode bloquear cookies diretamente nas configurações do navegador.

A aplicação (app.cumbaru.com) não usa cookies de análise nem de publicidade — apenas armazenamento local necessário para manter sua sessão autenticada.

10. Segurança

Adotamos medidas técnicas e organizacionais compatíveis com o risco, entre elas:

• tráfego criptografado em trânsito (HTTPS/TLS);
• senhas armazenadas com hash, nunca em texto legível;
• autenticação por token com expiração curta e renovação controlada;
• isolamento de dados entre empresas em duas camadas — no aplicativo e no próprio banco de dados, por políticas de segurança em nível de linha;
• registro de auditoria das operações sensíveis;
• backups periódicos do banco de dados.

Nenhum sistema é totalmente imune. Se ocorrer incidente de segurança com risco relevante aos seus dados, comunicaremos você e a ANPD nos prazos da lei.

11. Crianças e adolescentes

O Cumbaru é destinado a uso profissional por maiores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes.

12. Alterações desta Política

Podemos atualizar esta Política. Mudanças relevantes serão comunicadas por e-mail ou dentro do aplicativo. A data da última atualização está no topo desta página.