Política de privacidade.

No mínimo possível pra te identificar e operar o serviço. Em detalhe:

• Email: pra te enviar o link mágico de login.
• Nome (opcional), pra personalizar seu cardápio.
• Telefone (opcional), pra confirmar reservas e te avisar quando tiver pronto.
• Data de aniversário: obrigatória no cadastro: é com ela que a gente te manda o presente de aniversário (por e-mail, no dia, e na sua conta) e confirma a idade mínima de 12 anos. Depois de cadastrada, a data não muda, é o que impede o mesmo presente de sair duas vezes. Ninguém além de você e da nossa equipe vê, e a gente não mostra o ano na tela.
• Celular confirmado por código (só se você participar de uma campanha promocional), serve pra garantir uma participação por pessoa. Não guardamos o número em si: só uma chave cifrada e os 4 últimos dígitos pra você reconhecer. O código é enviado por SMS pela Twilio. A chave fica até 180 dias depois do fim da campanha; a confirmação, até 180 dias. Não é inscrição em lista de mensagens.
• Foto de perfil: escolhida entre opções pré- aprovadas do nosso yorkie. Sem upload.
• Histórico de compras: pra calcular saldo de yorcoins.
• Logs de acesso (anonimizados): IP mascarado e user agent, pra auditoria de segurança.

Na loja online (compra pelo site, com ou sem conta), coletamos também, cada dado com uma finalidade única:

• Nome: é como a gente identifica o seu pedido na entrega e na retirada (com conta, usamos o nome da conta).
• E-mail: identificar o pedido, confirmar o pagamento e creditar seus yorcoins (mesmo comprando sem conta).
• WhatsApp/telefone: obrigatório em todo pedido, pra confirmar o pedido e avisar quando ele fica pronto ou sai pra entrega.
• Endereço de entrega (rua, complemento, bairro, cidade, CEP, ponto de referência) e o local exato que você marca no mapa (coordenadas), só quando você escolhe entrega; usados pra calcular o frete e pra o entregador chegar na sua porta. Se você salvar o endereço na conta, o local marcado fica salvo junto.
• Observações do pedido/itens: texto livre que você escreve (ex.: "sem nozes").
• Comprovante Pix: só no Pix manual (alternativa), se você optar por enviar pelo site: o arquivo fica em storage privado por URL não-adivinhável, só pra conferência do pagamento.

O carrinho fica salvo no localStorage do SEU navegador (cookie funcional, não-rastreador): nada do carrinho vai pros nossos servidores até você finalizar o pedido. Não usamos cookies de rastreio nem ferramenta nenhuma de analytics, não medimos sua navegação.

• Identificar você no login.
• Processar suas reservas e compras.
• Calcular e creditar yorcoins (programa de fidelidade).
• Mandar seu presente de aniversário: um e-mail no dia e o voucher na sua conta, que você usa no checkout.
• Aplicar benefícios de campanhas promocionais e evitar que o mesmo benefício saia duas vezes pra mesma pessoa.
• Enviar emails relacionados ao serviço (confirmação de pedido, lembretes).
• Enviar marketing (promoção, lançamentos), só se você marcar opt-in explícito.
• Cumprir obrigações legais (fiscal, etc).

Nunca vendemos seus dados. Nunca compartilhamos com terceiros pra fim de marketing.

Com os operadores essenciais à prestação do serviço, listados abaixo, e com o nosso grupo interno de pedidos no Telegram (detalhado no fim desta seção). Mais ninguém.

• Neon (hospedagem do banco), região São Paulo, criptografia em repouso.
• Vercel (hospedagem do site), TLS forçado em todas as conexões.
• Resend (envio de email), para magic link e comunicações transacionais.
• Mercado Pago (pagamentos na loja online: Pix e cartão), no Pix, pra gerar a cobrança e confirmar o pagamento na hora, a gente envia seu nome, e-mail e o valor do pedido ao Mercado Pago, que devolve o QR/copia-e-cola e avisa quando você paga. No cartão, você é levado pra página do Mercado Pago e digita os dados do cartão lá: eles nunca passam pelos nossos servidores; a gente envia só o valor e o número do pedido. Nos dois casos a gente guarda só a referência da transação e o status (no cartão, também o tipo de pagamento e o número de parcelas), nunca dados do cartão ou bancários seus. O Mercado Pago atua como operador com seus próprios controles, inclusive PCI-DSS no cartão.
• Vercel Blob (arquivos), fotos de produto e, se você enviar pelo site, o comprovante Pix (URL não-adivinhável, removido na régua de retenção abaixo).
• OpenRouteService (distância do frete), quando você escolhe entrega, mandamos as coordenadas da loja e do local que você marcou no mapa pra medir a distância. Não fica guardado lá.
• Photon (localização do endereço), assim que o endereço fica completo, pra mostrar no mapa onde ele fica (uma prévia, antes de você marcar o local) e abrir o mapa já perto de você, o servidor consulta o seu endereço (rua sem o número, bairro, cidade e CEP) no Photon, um geocodificador público de mapas, e, se ele não achar, no OpenRouteService. Não mandamos nome nem telefone.
• OpenStreetMap (o mapa em si), quando o mapa aparece (a prévia do endereço e o mapa de marcar o local), o seu próprio navegador baixa as imagens do mapa dos servidores da OpenStreetMap Foundation (fora do Brasil), que recebem o seu IP e a região do mapa que aparece na tela. Não enviamos nome, contato nem o endereço digitado. O botão "usar minha localização" usa o GPS do aparelho só se você permitir, e a posição fica só no mapa até você confirmar o local.
• ViaCEP (preenchimento de endereço), ao digitar o CEP no checkout, o seu próprio navegador consulta o ViaCEP pra preencher rua/bairro/cidade. É uma busca pública de CEP (não envia seu nome nem outros dados).
• Sentry (monitoramento de erros), registra falhas técnicas pra gente corrigir. Recebe identificadores do pedido e valores, não seus dados de contato.

No Pix, a cobrança e a confirmação passam pelo Mercado Pago (acima), automático, sem comprovante. Caso o Pix integrado esteja indisponível, usamos o Pix manual como alternativa: você paga direto pra nossa chave e a confirmação é feita pela nossa equipe conferindo o comprovante que você enviar.

Telegram: nosso grupo interno de pedidos. Além dos operadores acima, a gente organiza os pedidos num grupo privado, restrito às pessoas donas do negócio, no Telegram. Diferente dos outros, o Telegram não é um operador contratado por nós: é a ferramenta onde a nossa equipe conversa. Por isso mandamos pra lá só o necessário pra cumprir o seu pedido, e o quanto varia com a forma de entrega:

• Entrega: nome, telefone, e-mail e o endereço, junto de links de mapa e de corrida que apontam pro local que você marcou no mapa, é o que permite achar você e avisar sobre a entrega.
• Retirada: nome, telefone e e-mail, pra identificar quem vem buscar e te avisar quando estiver pronto ou se algo mudar. Sem endereço.
• Reserva de feira: nenhum dado de contato, só o código da reserva e os itens.

Base legal: execução do contrato (Art. 7º, V), sem esses dados não há como preparar e entregar o que você pediu.

Transferência internacional (Art. 33). O Telegram é operado fora do Brasil, então esses dados saem do país quando a mensagem do seu pedido é enviada. Fazemos essa transferência por ela ser necessária à execução do contrato que você fez com a gente (Art. 33, VI). As mensagens ficam no histórico do grupo enquanto ele existir, ou seja, esse histórico não é apagado pela régua de retenção da seção abaixo, que vale pro nosso banco de dados.

Você pode, a qualquer momento:

• Confirmar que tratamos seus dados.
• Acessar e exportar tudo o que guardamos, botão direto na sua conta.
• Corrigir dados incompletos ou desatualizados.
• Solicitar anonimização ou exclusão dos dados, botão direto na sua conta. Apagamos dentro de 30 dias.
• Revogar consentimento de marketing a qualquer momento (toggle na conta ou link de unsubscribe nos emails).
• Portabilidade dos dados em formato estruturado (JSON exportado), inclui seus pedidos da loja online.

Comprou como convidado (sem conta)? Os mesmos direitos valem: mande um e-mail pro nosso DPO (seção 7) a partir do endereço usado no pedido, pedindo acesso, cópia ou eliminação dos dados. Respondemos em até 15 dias.

• Dados ativos: enquanto sua conta existir.
• Conta inativa: depois de 24 meses sem login, avisamos por email; sem resposta em 30 dias, anonimizamos.
• Logs de auditoria: 5 anos (sem PII associada após anonimização da conta).
• Pedidos da loja online: os dados pessoais do pedido (e-mail, telefone, endereço, observações e comprovante Pix) são anonimizados automaticamente 12 meses após a conclusão, ou 90 dias se o pedido foi cancelado. Os números da venda (itens, valores, datas) ficam sem identificação, por obrigação contábil.
• Crédito de yorcoins de convidado: guardamos o e-mail só até você criar a conta e resgatar, ou por no máximo 180 dias (depois expira e some).
• Notas fiscais: prazo legal exigido (5 anos).

• HTTPS forçado em todas as páginas.
• Cookies de sessão HttpOnly + Secure + SameSite.
• Rate limiting em endpoints sensíveis.
• Criptografia em repouso no banco (Neon).
• Sem senha, login é por link mágico, então não há credencial pra vazar.
• Audit log imutável de toda ação relevante na sua conta.

Encarregado: Enzo Viniski.
Contato: contato@yorcookie.com

Você também pode reclamar à Autoridade Nacional de Proteção de Dados (ANPD): gov.br/anpd.

Quando a gente atualizar essa política, sobe a versão e avisa você por email com pelo menos 14 dias de antecedência. Você pode não aceitar, nesse caso, oferecemos exportação dos seus dados antes de encerrar sua conta.