Política de Privacidade

Esta Política de Privacidade descreve como a cantinaX, inscrita no CNPJ nº 48.386.435/0001-42, com sede na Av. Pedro Paes de Azevedo, nº 130, Aracaju / SE, CEP 49020-450 (doravante "cantinaX", "nós" ou "controlador"), coleta, utiliza, armazena, compartilha e protege os dados pessoais de responsáveis financeiros, alunos (dependentes ou com conta própria), funcionários consumidores, operadores e gestores das cantinas e demais usuários do aplicativo móvel e do painel web da cantinaX (coletivamente, a "Plataforma").

Esta política é elaborada em conformidade com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, LGPD) e aplica-se a todos os titulares de dados cujas informações são tratadas pela cantinaX no contexto da gestão de cantinas escolares.

Para que a Plataforma funcione, coletamos e tratamos as seguintes categorias de dados:

Os dados são tratados exclusivamente para as seguintes finalidades:

• Autenticar os usuários no aplicativo e no painel web;
• Vincular a conta à escola do código de cadastro e verificar a idade mínima para a conta própria;
• Permitir ao responsável e ao titular de conta própria recarregar o saldo via PIX;
• Registrar compras e reservas realizadas na cantina e debitar o saldo pré-pago correspondente;
• Aplicar as regras de consumo definidas pelo responsável ou pelo titular e bloquear, no caixa e nas reservas, produtos com alergênicos restritos;
• Permitir à cantina gerir reservas e estoque e emitir relatórios de vendas, de consumo por consumidor e perfil e de estoque;
• Enviar notificações relacionadas a recargas, reservas, pagamentos confirmados e informações operacionais da cantina;
• Prestar suporte técnico e atendimento ao usuário;
• Prevenir fraudes, garantir a segurança das transações e manter registro de auditoria das alterações de restrições, de códigos de cadastro e de operações financeiras;
• Cumprir obrigações legais, regulatórias e fiscais decorrentes do serviço prestado.

A cantinaX trata dados pessoais com fundamento nas seguintes bases legais previstas no art. 7º da LGPD:

• Execução de contrato (art. 7º, V): para possibilitar a prestação dos serviços contratados pelo responsável ou pelo titular da conta;
• Consentimento (art. 7º, I): quando expressamente solicitado, especialmente para o tratamento de dados do aluno menor de idade;
• Cumprimento de obrigação legal ou regulatória (art. 7º, II): para cumprir deveres fiscais, contábeis e de prevenção à fraude;
• Legítimo interesse (art. 7º, IX): para manter a segurança da Plataforma e prevenir usos indevidos.

Os dados de saúde (item 2.4) são tratados com fundamento no art. 11 da LGPD: no consentimento específico e destacado do titular ou, no caso de criança ou adolescente, de ao menos um dos pais ou do responsável legal (art. 11, I, e art. 14, § 1º), manifestado ao cadastrar as restrições, e na proteção da vida e da incolumidade física do titular (art. 11, II, "e"). O cadastro das restrições é opcional e pode ser alterado ou removido a qualquer momento no aplicativo.

Em conformidade com o art. 14 da LGPD, o tratamento de dados pessoais de crianças e adolescentes é realizado no melhor interesse do menor e depende do consentimento específico e em destaque de ao menos um dos pais ou do responsável legal.

Ao cadastrar um aluno na Plataforma, o responsável financeiro declara possuir autoridade parental ou tutela legal sobre o menor e autoriza expressamente o tratamento dos dados daquele aluno conforme descrito nesta política. Nenhum dado de menor é coletado diretamente do próprio menor sem a intermediação do responsável autenticado.

A conta própria é exclusiva de quem tem 18 anos completos, conferidos pela data de nascimento informada no cadastro. Alunos menores de idade usam a Plataforma apenas como dependentes de um responsável.

A cantinaX não vende dados pessoais. Compartilhamos informações apenas com quem é estritamente necessário à operação da Plataforma:

• Escola e cantina parceira: os operadores e gestores da cantina veem, no caixa e no painel, os dados necessários ao atendimento (nome, matrícula, perfil de aluno, aluno com conta própria ou funcionário, saldo, situação da carteira, restrições por alergênico e produtos bloqueados) e os relatórios de vendas, reservas e consumo por consumidor e perfil, inclusive o consumo de funcionários;
• Asaas: instituição de pagamento responsável pelo processamento das cobranças PIX e pela gestão de subcontas financeiras vinculadas às cantinas;
• Expo, Google e Apple: para a entrega de notificações push ao aplicativo móvel;
• Provedores de infraestrutura em nuvem (como Render e seus provedores subjacentes): para hospedagem de servidores, banco de dados e filas de processamento;
• Autoridades competentes: quando exigido por determinação legal, ordem judicial ou solicitação formal de órgãos reguladores.

Todos os operadores são contratualmente obrigados a observar padrões de segurança compatíveis com a LGPD.

Os servidores, o banco de dados e as filas de processamento da Plataforma estão atualmente hospedados em provedores de nuvem com servidores nos Estados Unidos, e as notificações push passam por serviços de Expo, Google e Apple que também podem tratar dados fora do Brasil. Essas transferências internacionais ocorrem nas hipóteses do art. 33 da LGPD, em especial quando necessárias à execução do contrato com o usuário.

Os dados pessoais são mantidos enquanto a conta estiver ativa e pelo tempo adicional necessário para o cumprimento de obrigações legais, em especial obrigações fiscais relativas a transações financeiras (prazo mínimo de 5 anos, nos termos da legislação tributária aplicável). Além disso:

• Exclusão da conta: os dados de cadastro da conta são eliminados e os vínculos com os alunos dependentes são removidos. Os registros financeiros (recargas, compras, reservas e lançamentos da carteira) são mantidos pelo prazo legal, sem vínculo com a conta excluída;
• Carteira própria de conta excluída: fica bloqueada e é mantida com o saldo, o perfil e o histórico até a devolução do saldo e pelo prazo legal;
• Restrições por alergênico: mantidas até que o responsável ou o titular as altere ou remova. O registro de auditoria guarda os valores anteriores e novos de cada alteração, com o autor e a data, para fins de segurança e comprovação;
• Histórico de estoque: as movimentações de estoque não são apagadas e identificam o operador ou gestor que as registrou, para o controle da cantina.

Após o término do prazo de retenção, os dados são eliminados ou anonimizados, exceto quando for legalmente obrigatório mantê-los por mais tempo.

Nos termos do art. 18 da LGPD, o titular dos dados pessoais tem o direito de obter da cantinaX, mediante requisição:

• Confirmação da existência de tratamento;
• Acesso aos seus dados;
• Correção de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Portabilidade dos dados a outro fornecedor de serviço;
• Eliminação dos dados tratados com base no consentimento;
• Informação sobre entidades com as quais os dados foram compartilhados;
• Revogação do consentimento.

As restrições por alergênico podem ser removidas a qualquer momento pelo responsável ou pelo titular no próprio aplicativo, o que revoga o consentimento para esse tratamento. As demais solicitações devem ser enviadas para atendimento@cantinax.com.br. Responderemos no prazo legal, podendo exigir informações adicionais para confirmar a identidade do solicitante e prevenir acesso indevido.

A cantinaX adota medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados, perda, alteração, destruição ou qualquer forma de tratamento inadequado, incluindo:

• Comunicação criptografada em trânsito (HTTPS / TLS);
• Armazenamento de senhas com hash criptográfico (bcrypt);
• Isolamento multi-tenant entre diferentes cantinas e escolas;
• Autenticação por tokens JWT com expiração controlada;
• Controles de acesso baseados em função (RBAC) no painel operacional; contas do aplicativo não têm acesso ao caixa nem ao painel da cantina;
• Registro e monitoramento de logs para detecção de incidentes.

Apesar dos esforços de segurança, nenhum método de transmissão ou armazenamento é 100% seguro. Em caso de incidente de segurança que gere risco ou dano relevante aos titulares, a cantinaX comunicará os titulares afetados e a Autoridade Nacional de Proteção de Dados (ANPD) nos termos da LGPD.

O painel web da cantinaX utiliza o localStorage do navegador apenas para manter a sessão do usuário autenticado. Não são utilizados cookies de rastreamento publicitário, cookies de terceiros para perfilamento ou tecnologias similares com finalidade de marketing direcionado.

A cantinaX poderá atualizar esta Política de Privacidade periodicamente para refletir mudanças legais, operacionais ou tecnológicas. A data da última atualização é indicada no topo desta página. Alterações materiais serão comunicadas por meio do aplicativo ou por e-mail cadastrado.

Para dúvidas, solicitações ou exercício de direitos previstos na LGPD, entre em contato com o nosso Encarregado de Proteção de Dados:

cantinaX
CNPJ 48.386.435/0001-42
Av. Pedro Paes de Azevedo, nº 130, Aracaju / SE, CEP 49020-450
E-mail: atendimento@cantinax.com.br