Política de Privacidade

O controlador destes tratamentos é o Enoway, operado sob o CNPJ 64.693.795/0001-43.

O Encarregado pelo Tratamento de Dados Pessoais (Encarregado / DPO) pode ser contactado em contato@enoway.com.br — o mesmo canal operacional do produto. Use-o para exercer direitos e para dúvidas sobre estes tratamentos.

Esta política cobre o cardápio digital e o sommelier (menu), o buscador de restaurantes (discovery) e o site institucional, além do cadastro e do portal dos restaurantes. As seções 3 e 4 separam convidados (B2C) e restaurantes (B2B).

Esta política descreve os principais tratamentos de dados pessoais conhecidos hoje no cardápio, no discovery, no site e no portal. Não há gateway de pagamento, Google Analytics, Meta Pixel, ferramenta de observabilidade nem login social. O convidado não cria conta. Não pedimos data de nascimento nem localização por GPS.

Determinados dados técnicos podem aparecer automaticamente em infraestrutura, logs de aplicação ou de borda, backups do banco/arquivo e nos fornecedores listados nas seções 6 e 7 — mesmo quando não são campos da interface. Esta política não é uma garantia de que nenhuma outra informação técnica exista nesses sistemas.

Abrir o cardápio pelo QR, buscar no discovery e conversar com o sommelier não exigem conta, e-mail nem telefone. O cliente final não tem usuário na plataforma.

3.1 Quando pedimos identificação

Nome e WhatsApp são pedidos em dois fluxos voluntários: reserva no discovery e formulário do rodapé do cardápio. O WhatsApp normalizado é a chave de reconciliação. O endpoint de opt-in aceita e-mail, mas o formulário publicado não o coleta.

O envio do formulário registra o seu aceite em receber comunicações e a data em que ele foi dado. Não há hoje envio de comunicação de marketing — nem por e-mail, nem por WhatsApp. Se passarmos a enviar, será com finalidade informada, consentimento específico e opção de descadastro.

Hoje não há revogação na interface. Pedidos de oposição ou apagamento do flag devem ir a contato@enoway.com.br e serão tratados nos prazos e condições da LGPD e da regulamentação da ANPD, de forma manual.

3.2 Reserva

A reserva guarda data, hora, número de pessoas, vinhos escolhidos (quando houver), origem e, se existir, o identificador de sessão. Nome e WhatsApp também ficam como cópia na reserva. A rota é pública (sem login). Uma mensagem de WhatsApp vai ao restaurante com nome, data, hora, pessoas e rótulos de vinho — o telefone do convidado não entra no texto, mas transita pelo provedor de mensageria. Confirmação, recusa ou cancelamento podem ser enviados ao convidado pelo mesmo canal.

3.3 Identificador de sessão e telemetria do cardápio

Cada app (cardápio e discovery) pode guardar no seu navegador um identificador anônimo, próprio daquele app e sem correlação entre os dois. Os nomes exatos dessas chaves, para quem quiser apagá-las, estão na Política de Cookies. Esse identificador só é criado e enviado depois que você aceita a faixa de privacidade. Sem aceite, não disparamos visitas nem eventos de navegação e não persistimos esse id.

Com aceite, a abertura do cardápio registra uma visita (origem e referrer) e interações como troca de aba, abertura de foto de prato, visualização de bebida, abertura do sommelier, envio de mensagem (sem o texto) e conclusão da entrevista. Os tipos de evento são fechados no servidor; o conteúdo digitado no chat não vai para a tabela de eventos.

Se você depois se identificar (reserva ou opt-in) com um sessionId ativo, visitas e eventos dos últimos 7 dias dessa sessão são ligados ao seu contato. Aí o identificador deixa de ser só um pseudônimo.

3.4 Texto livre, entrevista e cache de IA

Não guardamos a conversa do chat: ela vive só no seu navegador, nesta visita. As preferências da entrevista do cardápio também ficam guardadas no seu navegador, por tempo limitado. O que vai ao provedor de IA, o cache e a retenção estão na seção 5.

3.5 Interesse por região

No discovery, um cartão opcional guarda cidade, UF ou CEP que você declarar, mais origem, campanha UTM e referrer, para priorizar expansão. Sem nome, e-mail ou telefone. Se houver sessionId consentido, ele acompanha o registro (deduplicação em 7 dias).

3.6 O que não coletamos do convidado

Senha, login social, data de nascimento, endereço residencial, GPS, geolocalização por IP, avaliações, favoritos, foto de perfil, pedidos (comanda/delivery), endereço IP persistido ou fingerprint além do sessionId. O IP é lido só em memória para limitar excesso de requisições.

O pedido de cadastro no site pede nome do restaurante, CEP, cidade, UF, e-mail e celular (WhatsApp). O CEP é consultado no seu browser junto a um serviço externo de consulta de CEP (o IP e o User-Agent daquele pedido chegam a esse serviço). UTMs e o referrer da página também podem ser gravados. O envio cria um lead para análise — não abre conta automaticamente.

Se o pedido for aceito, enviamos um convite por WhatsApp e por e-mail, com um código válido por 14 dias. A entrevista de cadastro ocorre no WhatsApp e pede, nesta ordem: nome fantasia, CNPJ, localização (CEP e número), tipo de cozinha, faixa de preço, horários, comodidades e fotos do ambiente e do cardápio. Não pedimos CPF, razão social nem o nome da pessoa física responsável. No fluxo WhatsApp, o “nome” da conta do portal recebe o nome do restaurante; o e-mail pode ser sintético no formato que embute o telefone.

O acesso ao portal é pedido a partir do WhatsApp cadastrado do restaurante e chega como um link temporário, de curta validade. A sessão do portal fica guardada no navegador de quem entrou, e é o que mantém o acesso autenticado.

Fotos do salão e do cardápio vão ao nosso armazenamento (bucket em nuvem) e, na extração por IA, são enviadas ao provedor de IA. Fotos do ambiente podem conter rostos de clientes ou equipe. O restaurante é responsável por ter base legal e autorização de imagem para o que envia. A Enoway não obtém automaticamente consentimento de cada pessoa que aparece nessas fotos.

No processamento usual, a orientação EXIF é aplicada e o restante do EXIF (inclusive GPS) é descartado. Exceção ainda existente: imagens pequenas, já web-safe, dentro do limite e com orientação 1 são gravadas no buffer original — nesses casos o EXIF, inclusive GPS, pode ser preservado. A remoção incondicional de EXIF/GPS é um gap técnico (atualmente não implementada de ponta a ponta).

O painel do restaurante mostra só agregados (visitas, eventos, top pratos, reservas por origem). Nome, telefone e e-mail de convidados não aparecem nesse endpoint.

A Enoway utiliza serviços de inteligência artificial de terceiros para compreender solicitações, analisar informações do cardápio e do ambiente e gerar recomendações. O conteúdo enviado a esses serviços é limitado ao necessário para a funcionalidade pedida. Todas as chamadas saem do servidor da Enoway; o navegador não fala com o provedor nem carrega chave de IA.

Provedor: usamos modelos de linguagem de um provedor de inteligência artificial sediado nos Estados Unidos, para interpretar o pedido, sugerir harmonização, ler fotos de cardápio e gerar buscas. Em ambientes de desenvolvimento o provedor pode ser desligado, e nesse caso nenhum dado sai da nossa infraestrutura.

O que pode ir ao provedor: texto livre digitado na busca ou no sommelier; preferências da entrevista (incluindo a resposta sobre álcool e as observações livres); catálogo da casa (nomes, descrições, preços); nome do restaurante e tipo de cozinha (estilo do ambiente); fotos de páginas de cardápio e até 5 fotos do salão/fachada.

O que deliberadamente não entra no prompt: nome, e-mail, telefone, identificadores de contato, de sessão, de conta ou de reserva. Também não enviamos o histórico acumulado da conversa: cada chamada leva apenas o pedido atual.

Ressalva: se o convidado escrever um dado pessoal no texto (“sou o João…”), esse trecho vai ao provedor de IA e ao cache. Texto livre pode ser dado pessoal.

Persistência nossa: não há tabela de conversa. O chat vive no navegador nesta visita. O texto do pedido pode ficar guardado no nosso cache de IA, que serve para não repetir a mesma chamada ao provedor. Esse cache tem prazo de validade: passado o prazo, a entrada deixa de ser reutilizada. Chamadas com imagem não passam pelo cache.

Logs nossos: a camada de IA registra apenas metadados operacionais. Prompts completos e respostas do provedor de IA não são gravados nos nossos registros.

Retenção e treinamento no provedor: o que o provedor de IA faz com o conteúdo enviado é regido pelo contrato dessa contratação. Para sermos transparentes: não afirmamos que não há retenção nem uso para treinamento do lado do provedor.

Não vendemos dados. Os fornecedores abaixo podem receber informação na medida em que o produto os usa. Não afirmamos residência de dados no Brasil.

Não usamos analytics de terceiros, ferramentas de observabilidade externas nem processadores de pagamento. Fontes tipográficas são servidas pelo próprio site — seu navegador não consulta servidores de fonte externos.

O que o seu navegador contata diretamente: algumas imagens (banners e fotos ilustrativas) e a consulta de CEP no site são carregadas de serviços externos pelo próprio navegador. Nesses casos o serviço enxerga o seu IP, o User-Agent e a página de origem — como acontece com qualquer imagem hospedada fora do site. O restante das integrações acima acontece a partir do nosso servidor, sem expor o seu IP.

Nossa infraestrutura e parte dos fornecedores da seção 6 operam fora do Brasil, e por isso os dados tratados podem ser processados no exterior. Não afirmamos residência de dados no Brasil. Essas transferências ocorrem para viabilizar a prestação do serviço, nas hipóteses admitidas pela LGPD.

Guardamos cada categoria de dado enquanto ela for necessária para as finalidades descritas nesta política, para cumprir obrigação legal ou para o exercício regular de direitos. Alguns registros — como links de acesso e convites de cadastro — têm validade curta e deixam de funcionar sozinhos ao vencer.

Para sermos transparentes: a exclusão definitiva ainda é feita mediante solicitação, não por rotina automática. Isso vale para contatos, reservas, registros de navegação do cardápio, cadastros de restaurante e o cache de IA, entre outros.

O convidado não tem conta no produto, e não há hoje autoatendimento para acesso, correção, eliminação, portabilidade, oposição ou revogação. O canal é contato@enoway.com.br, e os pedidos são tratados manualmente, nos prazos e condições previstos na LGPD e na regulamentação aplicável da ANPD. Reservar mesa cria uma cópia do nome e do telefone junto da reserva, que é tratada no mesmo pedido.

Cópias de segurança seguem o ciclo de retenção dos serviços de infraestrutura que utilizamos, e por isso um dado excluído pode persistir nelas por um período residual antes de ser sobrescrito.

O conjunto é tratado como cookies e tecnologias semelhantes. Nenhum dos nossos apps define cookies HTTP. Usamos localStorage e, no discovery, sessionStorage. O detalhe (HTTP vs localStorage) está na Política de Cookies. A telemetria com sessionId só corre com o seu aceite.

Não verificamos idade. O cardápio público, inclusive a carta de bebidas alcoólicas e as sugestões do sommelier, pode ser aberto por QR sem login. A plataforma é destinada a adultos. Quem serve álcool é o restaurante, sob a lei aplicável. A pergunta “Você irá consumir bebida alcoólica hoje?” é preferência, não verificação de maioridade.

A Enoway não processa pagamento, cartão, boleto nem assinatura. O valor exibido no site institucional é informação comercial, sem checkout.

Adotamos medidas técnicas e organizacionais para proteger os dados que tratamos. Senhas do portal, quando definidas, são guardadas de forma irreversível e nunca em texto legível; links de acesso por e-mail também não ficam guardados em claro e expiram. A API valida as entradas que recebe e limita a frequência de requisições.

Por segurança, não detalhamos publicamente nossos mecanismos de proteção, e também não reivindicamos certificações ou controles que não possamos comprovar. Registros técnicos de operação podem conter dados de contato em alguns fluxos internos, e o endereço IP do visitante pode constar de registros dos serviços de infraestrutura que utilizamos.

Nenhuma medida elimina integralmente o risco. Em caso de incidente de segurança relevante, atuaremos conforme a LGPD e a regulamentação da ANPD.

Nos termos da LGPD, você pode pedir confirmação de tratamento, acesso, correção, anonimização, eliminação, portabilidade, informação sobre compartilhamentos e revogação de consentimento. O exercício hoje é só por e-mail (contato@enoway.com.br): não há self-service. Também é possível contatar a Autoridade Nacional de Proteção de Dados (ANPD). Os pedidos seguem os prazos e condições da LGPD e da regulamentação da ANPD; não prometemos um prazo interno próprio.

Se o tratamento mudar de forma relevante (por exemplo, se passarmos a cobrar, a usar GPS ou a oferecer exclusão no próprio app), atualizaremos esta página e a data no topo.