Política de privacidade.

No mínimo possível pra te identificar e operar o serviço. Em detalhe:

• Email — pra te enviar o link mágico de login.
• Nome (opcional) — pra personalizar seu cardápio.
• Telefone (opcional) — pra confirmar reservas e te avisar quando tiver pronto.
• Data de aniversário (opcional) — só se você quiser receber promoção de aniversário.
• Foto de perfil — escolhida entre opções pré- aprovadas do nosso yorkie. Sem upload.
• Histórico de compras — pra calcular saldo de yorcoins.
• Logs de acesso (anonimizados) — IP mascarado e user agent, pra auditoria de segurança.

Na loja online (compra pelo site, com ou sem conta), coletamos também — cada dado com uma finalidade única:

• E-mail — identificar o pedido, confirmar o pagamento e creditar seus yorcoins (mesmo comprando sem conta).
• WhatsApp/telefone — obrigatório só na entrega em casa, pra confirmar endereço e avisar a saída.
• Endereço de entrega (rua, complemento, bairro, cidade, CEP, ponto de referência) — só quando você escolhe entrega; usado pra calcular o frete e entregar o pedido.
• Observações do pedido/itens — texto livre que você escreve (ex.: "sem nozes").
• Comprovante Pix — só no Pix manual (alternativa), se você optar por enviar pelo site: o arquivo fica em storage privado por URL não-adivinhável, só pra conferência do pagamento.

O carrinho fica salvo no localStorage do SEU navegador (cookie funcional, não-rastreador): nada do carrinho vai pros nossos servidores até você finalizar o pedido. Não usamos cookies de rastreio nem ferramenta nenhuma de analytics — não medimos sua navegação.

• Identificar você no login.
• Processar suas reservas e compras.
• Calcular e creditar yorcoins (programa de fidelidade).
• Enviar emails relacionados ao serviço (confirmação de pedido, lembretes).
• Enviar marketing (promoção, lançamentos) — só se você marcar opt-in explícito.
• Cumprir obrigações legais (fiscal, etc).

Nunca vendemos seus dados. Nunca compartilhamos com terceiros pra fim de marketing.

Com os operadores essenciais à prestação do serviço, listados abaixo, e com o nosso grupo interno de pedidos no Telegram (detalhado no fim desta seção). Mais ninguém.

• Neon (hospedagem do banco) — região São Paulo, criptografia em repouso.
• Vercel (hospedagem do site) — TLS forçado em todas as conexões.
• Resend (envio de email) — para magic link e comunicações transacionais.
• Stripe (pagamento com cartão na loja online) — o cartão é digitado direto no formulário da Stripe e nunca passa pelos nossos servidores; a gente só guarda a referência da transação e o status. A Stripe atua como operadora com seus próprios controles PCI-DSS.
• Mercado Pago (pagamento por Pix na loja online) — pra gerar a cobrança e confirmar o pagamento na hora, a gente envia seu nome, e-mail e o valor do pedido ao Mercado Pago, que devolve o QR/copia-e-cola e avisa quando você paga. A gente guarda só a referência da transação e o status — nunca dados bancários seus. O Mercado Pago atua como operador com seus próprios controles.
• Vercel Blob (arquivos) — fotos de produto e, se você enviar pelo site, o comprovante Pix (URL não-adivinhável, removido na régua de retenção abaixo).
• OpenRouteService (distância do frete) — quando você escolhe entrega, mandamos as coordenadas de origem e destino pra medir a distância até a loja. Não fica guardado lá.
• Photon (localização do endereço) — pra achar a coordenada do destino, o servidor consulta o seu endereço (rua, bairro, cidade) no Photon, um geocodificador público de mapas. Não mandamos nome nem telefone.
• ViaCEP (preenchimento de endereço) — ao digitar o CEP no checkout, o seu próprio navegador consulta o ViaCEP pra preencher rua/bairro/cidade. É uma busca pública de CEP (não envia seu nome nem outros dados).
• Sentry (monitoramento de erros) — registra falhas técnicas pra gente corrigir. Recebe identificadores do pedido e valores, não seus dados de contato.

No Pix, a cobrança e a confirmação passam pelo Mercado Pago (acima) — automático, sem comprovante. Caso o Pix integrado esteja indisponível, usamos o Pix manual como alternativa: você paga direto pra nossa chave e a confirmação é feita pela nossa equipe conferindo o comprovante que você enviar.

Telegram — nosso grupo interno de pedidos. Além dos operadores acima, a gente organiza os pedidos num grupo privado, restrito às pessoas donas do negócio, no Telegram. Diferente dos outros, o Telegram não é um operador contratado por nós: é a ferramenta onde a nossa equipe conversa. Por isso mandamos pra lá só o necessário pra cumprir o seu pedido, e o quanto varia com a forma de entrega:

• Entrega: nome, telefone, e-mail e o endereço, junto de links de mapa e de corrida montados a partir do endereço — é o que permite achar você e avisar sobre a entrega.
• Retirada: só o telefone, pra te avisar quando estiver pronto ou se algo mudar. Sem e-mail, sem endereço.
• Reserva de feira: nenhum dado de contato — só o código da reserva e os itens.

Base legal: execução do contrato (Art. 7º, V) — sem esses dados não há como preparar e entregar o que você pediu.

Transferência internacional (Art. 33). O Telegram é operado fora do Brasil, então esses dados saem do país quando a mensagem do seu pedido é enviada. Fazemos essa transferência por ela ser necessária à execução do contrato que você fez com a gente (Art. 33, VI). As mensagens ficam no histórico do grupo enquanto ele existir — ou seja, esse histórico não é apagado pela régua de retenção da seção abaixo, que vale pro nosso banco de dados.

Você pode, a qualquer momento:

• Confirmar que tratamos seus dados.
• Acessar e exportar tudo o que guardamos — botão direto na sua conta.
• Corrigir dados incompletos ou desatualizados.
• Solicitar anonimização ou exclusão dos dados — botão direto na sua conta. Apagamos dentro de 30 dias.
• Revogar consentimento de marketing a qualquer momento (toggle na conta ou link de unsubscribe nos emails).
• Portabilidade dos dados em formato estruturado (JSON exportado) — inclui seus pedidos da loja online.

Comprou como convidado (sem conta)? Os mesmos direitos valem: mande um e-mail pro nosso DPO (seção 7) a partir do endereço usado no pedido, pedindo acesso, cópia ou eliminação dos dados. Respondemos em até 15 dias.

• Dados ativos: enquanto sua conta existir.
• Conta inativa: depois de 24 meses sem login, avisamos por email; sem resposta em 30 dias, anonimizamos.
• Logs de auditoria: 5 anos (sem PII associada após anonimização da conta).
• Pedidos da loja online: os dados pessoais do pedido (e-mail, telefone, endereço, observações e comprovante Pix) são anonimizados automaticamente 12 meses após a conclusão — ou 90 dias se o pedido foi cancelado. Os números da venda (itens, valores, datas) ficam sem identificação, por obrigação contábil.
• Crédito de yorcoins de convidado: guardamos o e-mail só até você criar a conta e resgatar, ou por no máximo 180 dias (depois expira e some).
• Notas fiscais: prazo legal exigido (5 anos).

• HTTPS forçado em todas as páginas.
• Cookies de sessão HttpOnly + Secure + SameSite.
• Rate limiting em endpoints sensíveis.
• Criptografia em repouso no banco (Neon).
• Sem senha — login é por link mágico, então não há credencial pra vazar.
• Audit log imutável de toda ação relevante na sua conta.

Encarregado: Enzo Viniski.
Contato: contato@yorcookie.com

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD): gov.br/anpd.

Quando a gente atualizar essa política, sobe a versão e avisa você por email com pelo menos 14 dias de antecedência. Você pode não aceitar — nesse caso, oferecemos exportação dos seus dados antes de encerrar sua conta.