Política de Privacidade

1. Controlador dos dados

O tratamento de dados pessoais descrito aqui é realizado por KHONTRA SISTEMAS LTDA., CNPJ 68.262.665/0001-07, operadora do Cumbaru, na condição de controladora em relação aos dados de cadastro e uso da plataforma.

Em relação aos dados que você insere sobre a operação do seu restaurante, atuamos como operadora: tratamos esses dados seguindo as suas instruções, dentro das finalidades do serviço.

Esta é a versão 1.4, em vigor desde 20 de outubro de 2026.

2. Encarregado pelo tratamento de dados

Nos termos do art. 41 da LGPD, o canal de comunicação entre você, a ANPD e nós é o encarregado (DPO):

• Encarregado: Haniel Cortes
• E-mail: oi@cumbaru.com
• Endereço: Q ACSV SE 32 AV LO 05, nº 22 — Plano Diretor Sul, Palmas/TO, CEP 77.021-026

Use esse canal para dúvidas, solicitações e para exercer qualquer um dos direitos listados na seção 8. Respondemos em até 15 dias.

3. Quais dados coletamos

Dados que você fornece

• Cadastro: nome, e-mail, senha (armazenada com hash), empresa e unidades.
• Faturamento: CPF ou CNPJ do titular e dados de cobrança, tratados diretamente pelo Asaas. Não recebemos nem armazenamos o número completo do cartão.
• Operação: insumos, fornecedores, fichas técnicas, preços, produção e estoque. Em regra não são dados pessoais, mas podem conter, por exemplo, nome de contato de fornecedor.
• Suporte: o conteúdo das mensagens que você nos envia.
• Teste pelo WhatsApp: nome, e-mail, telefone, nome e tipo do estabelecimento e, se você chegou por um anúncio, a identificação do anúncio clicado.
• Assistente por WhatsApp (opcional): se você ativar, seu número de telefone, o conteúdo das mensagens, a transcrição dos áudios enviados ao assistente e as respostas que ele gerou.

Dados coletados automaticamente

• Endereço IP, tipo de navegador e dispositivo, páginas visitadas e horários de acesso.
• Registro de aceite: ao criar a conta, gravamos a versão dos documentos exibida, a data e hora do aceite, o endereço IP e o navegador/dispositivo de origem. É a prova da contratação — ver a cláusula 2 dos Termos de Uso.
• Registros técnicos (logs) de uso da aplicação, para segurança e diagnóstico.
• Como você usa as telas: páginas abertas, cliques, rolagem, tamanho da janela do navegador e uma gravação da navegação — usada para descobrir onde a interface trava. A gravação é capturada com mascaramento de texto: o conteúdo digitado e os números exibidos são substituídos por blocos antes de sair do seu navegador. No site institucional isso depende do seu aceite no aviso de cookies; no aplicativo, ver a seção 4.

4. Para que usamos e com qual base legal

Finalidade	Base legal (LGPD)
Criar e manter sua conta, prestar o serviço contratado	Execução de contrato (art. 7º, V)
Registrar o aceite dos Termos e desta Política (versão, data/hora, IP, dispositivo)	Execução de contrato e exercício regular de direitos (art. 7º, V e VI)
Cobrança, emissão de recibos e controle de assinatura	Execução de contrato e obrigação legal (art. 7º, V e II)
Suporte ao usuário	Execução de contrato (art. 7º, V)
Segurança, prevenção a fraude e registro de acessos	Legítimo interesse e obrigação legal (art. 7º, IX e II)
Melhoria do produto a partir de métricas de uso do aplicativo (app.cumbaru.com): telas abertas, cliques, tamanho de janela e gravação mascarada da navegação. Não usamos esses dados para publicidade	Legítimo interesse (art. 7º, IX)
Medir a audiência do site institucional (cumbaru.com) e o desempenho das campanhas de anúncio, com cookies de análise e de campanha	Consentimento (art. 7º, I), recolhido no aviso da primeira visita e revogável a qualquer momento
Informar à Meta, em código irreversível (hash), que um contato vindo de anúncio começou o teste ou contratou um plano, para medir e ajustar as campanhas (seção 9)	Legítimo interesse (art. 7º, IX), com oposição a qualquer momento pelo e-mail do encarregado
Acompanhar o relacionamento comercial — do cadastro de teste pelo WhatsApp à contratação — no nosso sistema de gestão comercial (CRM)	Procedimentos preliminares e execução de contrato (art. 7º, V) e legítimo interesse (art. 7º, IX)
Comunicações sobre novidades e conteúdo	Consentimento (art. 7º, I), revogável a qualquer momento
Citar sua empresa como cliente (nome e logotipo), nos limites da cláusula 9 dos Termos. Se você atua como pessoa física ou MEI e a citação envolver seu nome pessoal, a base é consentimento	Execução de contrato e legítimo interesse (art. 7º, V e IX) — ou consentimento (art. 7º, I)

5. Com quem compartilhamos

Não vendemos dados pessoais e não os cedemos a terceiros para publicidade de terceiros. Compartilhamos apenas com prestadores necessários à operação do serviço, que tratam os dados conforme nossas instruções:

Prestador	Finalidade	Local
Hostinger	Hospedagem da aplicação e do banco de dados	Brasil
Asaas	Processamento de pagamentos e assinaturas (Pix e cartão)	Brasil
Resend	Envio de e-mails transacionais	Estados Unidos
Cloudflare	DNS, CDN, proteção do site e guarda das cópias de segurança	Global
Google	Medição de audiência e uso (Google Analytics) — site e aplicativo	Estados Unidos
Microsoft	Mapa de cliques, rolagem e gravação de sessão (Clarity) — site e aplicativo	Estados Unidos
Meta (Pixel e Conversions API)	Medição de campanhas de anúncio — no site e nos marcos de contratação (seção 9)	Estados Unidos
Reatiiva	Gestão comercial (CRM): acompanhar o cadastro de teste pelo WhatsApp até a contratação	Brasil
Meta (WhatsApp)	Canal do assistente por mensagens (opcional)	Estados Unidos
Groq	Transcrição dos áudios enviados ao assistente (opcional)	Estados Unidos
Anthropic (Claude)	Inteligência artificial do assistente: interpreta as mensagens e, no Cumbaru Gestão, analisa os números do negócio para responder (opcional)	Estados Unidos

Os três últimos se aplicam apenas se você ativar o assistente por WhatsApp. Nesse caso:

• as mensagens trafegam pela infraestrutura do WhatsApp, operado pela Meta, sujeitas também aos termos e à política de privacidade dela;
• se você mandar um áudio, ele é transcrito em texto antes de ser interpretado;
• o texto (digitado ou transcrito) é interpretado pelo Claude, modelo de inteligência artificial da Anthropic, para extrair a intenção do comando — por exemplo, “entrou 10 kg de tomate”;
• no Cumbaru Gestão, em que você pergunta sobre os números do negócio (“qual meu CMV?”, “aumento o preço da picanha?”), o Claude recebe, além da pergunta, os números da sua unidade necessários para respondê-la — como o nome da unidade, CMV, faturamento, margens e custos dos pratos, lançamentos financeiros com a descrição que você deu a cada um (que pode citar um fornecedor ou um funcionário) e o que você contou ao assistente em conversas anteriores —, consultados no momento da pergunta.

Para interpretar um lançamento ou uma consulta de estoque vai apenas o conteúdo da mensagem: não enviamos suas fichas técnicas nem sua base de custos. No Cumbaru Gestão vão somente os números da unidade vinculada ao seu número, nunca dados de outras empresas ou unidades nem de outros usuários. Em nenhum dos dois casos enviamos seu telefone, nome ou e-mail. Pelos termos comerciais da Anthropic, o conteúdo enviado pela nossa integração não é usado para treinar os modelos dela.

O arquivo de áudio não é armazenado nos nossos servidores — guardamos a transcrição em texto, o registro da mensagem e a resposta do assistente, para você poder conferir depois o que foi lançado ou respondido.

Também podemos compartilhar dados para cumprir ordem judicial ou obrigação legal, e em caso de reorganização societária, mantidas as mesmas proteções.

6. Transferência internacional

Parte dos prestadores acima está fora do Brasil. Nesses casos a transferência ocorre com base no art. 33 da LGPD, mediante cláusulas contratuais e garantias de proteção equivalentes às previstas na legislação brasileira.

7. Por quanto tempo guardamos

• Conta ativa: enquanto durar a relação contratual.
• Após o encerramento: até 90 dias, para permitir reativação, e então exclusão.
• Registros fiscais e financeiros: 5 anos, por obrigação legal.
• Logs de acesso: 6 meses, conforme o Marco Civil da Internet.
• Registro de aceite: enquanto durar a relação contratual e por 5 anos após o encerramento — é o prazo em que a contratação ainda pode ser discutida, e sem o registro nenhuma das partes conseguiria demonstrar o que foi acordado.

8. Seus direitos

A LGPD garante a você o direito de:

• confirmar a existência de tratamento e acessar seus dados;
• corrigir dados incompletos, inexatos ou desatualizados;
• solicitar anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
• solicitar a portabilidade dos dados;
• revogar consentimento e se opor a tratamentos baseados em legítimo interesse;
• ser informado sobre com quem compartilhamos seus dados;
• solicitar a revisão de decisões automatizadas (art. 20). Na prática isto se aplica ao assistente por WhatsApp, que interpreta suas mensagens e gera lançamentos de estoque: todo lançamento fica visível e editável no aplicativo, e você pode pedir nossa revisão do que foi interpretado. As respostas do Cumbaru Gestão são recomendações, não decisões: nada é alterado no seu negócio a partir delas.

Para exercer qualquer um deles, escreva para o encarregado: oi@cumbaru.com. Respondemos em até 15 dias.

O registro de aceite (seção 3) é uma exceção ao pedido de eliminação enquanto durar o prazo da seção 7: ele existe justamente para provar o que foi contratado, e apagá-lo a pedido esvaziaria a garantia que ele dá aos dois lados.

9. Cookies e medição de uso

No site institucional (cumbaru.com)

Usamos cookies necessários — os que mantêm o site funcionando e guardam a sua preferência sobre esta própria seção — e, somente se você aceitar, cookies de análise e de campanha:

• Google Analytics: quantas visitas, de onde vieram e quais páginas foram lidas;
• Microsoft Clarity: onde se clica, até onde se rola e gravação mascarada da navegação;
• Meta Pixel: desempenho dos anúncios que trazem visitantes até aqui.

Nenhum dos três é carregado antes do seu aceite. Recusar, ou apenas ignorar o aviso, mantém a página sem nenhum script de terceiro — não é um banner decorativo que registra a recusa depois de já ter carregado tudo. A escolha fica disponível para revisão a qualquer momento pelo link Gerenciar cookies no rodapé.

No aplicativo (app.cumbaru.com)

O aplicativo não usa cookies de publicidade e nada do que você faz nele é compartilhado com plataforma de anúncio — a única exceção são os marcos de contratação descritos logo abaixo, que não carregam dado de uso. Medimos o uso das telas — quais são abertas, onde se clica, o tamanho da janela — e gravamos a navegação com mascaramento de texto, para encontrar onde a interface atrapalha. A base legal aqui é o legítimo interesse (seção 4), e não o consentimento: é a medição do serviço que você contratou, não publicidade.

O mascaramento cobre o conteúdo das telas: valores, nomes de insumo, fornecedores e qualquer texto digitado saem do seu navegador já substituídos por blocos. O que é gravado é a forma da navegação, não os seus números.

Se preferir não participar dessa medição, escreva para o encarregado (oi@cumbaru.com): a oposição a tratamento baseado em legítimo interesse é um direito seu (art. 18, § 2º) e não afeta em nada o seu acesso ao serviço.

Marcos de contratação informados à Meta

Quando você começa o teste pelo WhatsApp ou faz o primeiro pagamento de um plano, nosso servidor avisa a Meta pela Conversions API. É assim que sabemos se o anúncio que trouxe você até aqui funcionou. O aviso leva:

• qual dos dois marcos aconteceu e, no pagamento, o valor e o plano;
• telefone, e-mail, nome e um identificador da conta transformados em hash (SHA-256) — um código de mão única que a Meta só consegue comparar com o que ela já tem, sem recuperar o dado original.

Não vai nada sobre o uso do produto: fichas, custos, CMV, estoque, financeiro e mensagens trocadas com o assistente ficam fora. A base é o legítimo interesse (seção 4); para se opor, escreva para o encarregado e deixamos de enviar os seus marcos.

Se você chegou por um anúncio que abre o WhatsApp, o nosso CRM (Reatiiva, seção 5) também informa à Meta as etapas da contratação — cadastro, teste, início do pagamento e pagamento — usando só o identificador do clique no anúncio. Esse aviso não leva telefone, e-mail nem nome, e não sai para quem chegou sem anúncio.

Você também pode bloquear cookies diretamente nas configurações do navegador, nos dois casos.

10. Segurança

Adotamos medidas técnicas e organizacionais compatíveis com o risco, entre elas:

• tráfego criptografado em trânsito (HTTPS/TLS);
• senhas armazenadas com hash, nunca em texto legível;
• autenticação por token com expiração curta e renovação controlada;
• isolamento de dados entre empresas em duas camadas — no aplicativo e no próprio banco de dados, por políticas de segurança em nível de linha;
• registro de auditoria das operações sensíveis;
• backups periódicos do banco de dados.

Nenhum sistema é totalmente imune. Se ocorrer incidente de segurança com risco relevante aos seus dados, comunicaremos você e a ANPD nos prazos da lei.

11. Crianças e adolescentes

O Cumbaru é destinado a uso profissional por maiores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes.

12. Alterações desta Política

Podemos atualizar esta Política. Mudanças relevantes serão comunicadas por e-mail ou dentro do aplicativo. A data da última atualização está no topo desta página.