Política de Privacidade

Quem trata os seus dados

O Pedify é operado pela Angatu Sistemas. Tratamos os dados descritos abaixo para permitir que você faça pedidos, que a loja os prepare e que o entregador chegue ao endereço certo. Eles ficam em servidores contratados pela Angatu Sistemas.

O que coletamos, e para quê

• Dados de cadastro — nome, nome de usuário, e-mail, telefone e CPF. Servem para identificar você, confirmar o pedido e permitir que a loja e o entregador falem com você durante a entrega. Quem cadastra uma loja ou se cadastra como entregador recebe no e-mail da conta os avisos da análise: aprovação, pedido de ajustes, fila de espera, suspensão e reativação, e, para quem entrega, a decisão sobre a mudança de cidade de atuação. Quando um pedido pago termina sem entrega, quem pediu recebe no e-mail da conta o que aconteceu e o que acontece com o valor pago; se ninguém aceitou o pedido a tempo, a loja também é avisada.
• Endereço de entrega — e a localização calculada a partir dele, que usamos para medir o frete e conferir se a loja entrega na sua região. Rua, número, complemento, ponto de referência e telefone são compartilhados com a loja e com o entregador designado apenas enquanto o pedido estiver em andamento; depois disso, eles veem só o bairro e a cidade. Quem responde pela sua cidade no Pedify também vê só o bairro e a cidade.
• Código de entrega — quatro dígitos sorteados, fixos da sua conta, que você diz a quem entrega quando recebe o pedido. Só você o vê, na sua conta e no pedido em andamento: a loja, quem entrega e a equipe do Pedify não o recebem. Você pode trocá-lo quando quiser, e ele é apagado com a exclusão da conta.
• Histórico de pedidos — o que foi pedido, as mudanças de situação e as suas avaliações, para você reencontrar o que já pediu e para resolvermos uma reclamação com base no que de fato aconteceu.
• Avaliações — a nota, o comentário e os motivos que você marca depois da entrega. A loja lê a nota da comida, os motivos dela e o comentário, sem o seu nome e sem o pedido, e quem opera o Pedify também. A nota da entrega entra na média de quem levou o pedido: essa pessoa e quem opera o Pedify veem só a média. A média de cada loja aparece na vitrine a partir da primeira avaliação. Para decidir se uma nota baixa entra na média, o Pedify compara as suas avaliações mais recentes. Com as notas da entrega e as corridas devolvidas, calculamos também um índice operacional de quem entrega, em que a entrega sem avaliação conta como boa; só essa pessoa e quem opera o Pedify o veem. Quando você revê a avaliação, as versões anteriores ficam guardadas com ela. A loja pode responder, e a resposta fica junto da avaliação; você é avisado na conta e por e-mail. Se a loja pedir a moderação, quem opera o Pedify lê a avaliação, os registros do pedido e a justificativa e as evidências da loja; aceito o pedido, a nota deixa de contar na média, a avaliação continua guardada e você é avisado do motivo.
• Pedido de moderação de avaliação — o motivo, a justificativa e os arquivos de evidência (foto ou PDF) que a loja envia ao pedir a moderação de uma avaliação, e a decisão, com o motivo de quem decidiu. Quem lê é a loja que pediu e quem opera o Pedify; os arquivos abrem também para o representante da praça da conta que os enviou. Ficam com o pedido de moderação, pelo mesmo prazo dos pedidos.
• Avaliações entre a loja e quem entrega — nas entregas do Pedify, a nota, os motivos e o comentário que quem entregou dá à loja e que a loja dá a quem entregou, ligados ao pedido. Cada um lê o que recebeu sem o nome de quem avaliou e sem o pedido; a média aparece também na ficha que o representante da praça e quem opera o Pedify leem, e a nota baixa da loja a quem entregou entra no índice operacional. Elas não aparecem na vitrine.
• Conversa do pedido — as mensagens que você troca com a loja e com quem leva a entrega, e quando cada uma foi lida. Você lê a conversa enquanto o pedido estiver em andamento; depois que ele termina, ela deixa de aparecer no seu histórico. A loja continua lendo, só para consulta, a conversa dos pedidos que recebeu. O entregador lê a dele apenas enquanto o pedido estiver em andamento, e cada entregador lê só o que foi dito a ele. Quem opera o Pedify não lê a conversa pelo painel.
• Lojas favoritas — as lojas que você marca com o coração, guardadas na sua conta para você reencontrá-las em qualquer aparelho. Só você vê a sua lista: a loja não sabe quem a marcou.
• Avisos na conta — as decisões da análise (aprovação, pedido de ajustes, suspensão, alteração da vitrine recusada, mudança de cidade de quem entrega) e os recados que a equipe do Pedify escreve para a sua conta ficam guardados nela e aparecem no alto da tela até você marcar que leu, esteja você conectado ou não. Quando a conta não tem nenhuma tela aberta, o recado da equipe também vai para o e-mail dela. O aviso lido sai em trinta dias; o que ninguém leu, em seis meses. Só você vê os avisos da sua conta: quem escreveu o recado fica no registro das ações, e não na sua tela.
• Dados técnicos — endereço de rede e informações do navegador, guardados com cada sessão e com o registro das ações feitas na conta (quem fez o quê, e quando), e usados para segurança e para investigar falhas. A decisão da análise de uma loja ou de um entregador (aprovação, pedido de ajustes, suspensão, recusa) guarda também o motivo que quem analisou escreveu, e quem opera o Pedify e quem responde pela cidade a relê no histórico das análises; apagar uma candidatura apaga os motivos que ela levou. O endereço de rede, com a data e a hora de cada entrada na conta, é também o registro de acesso que o Marco Civil da Internet manda guardar.
• Anotações das gravações — para investigar falhas, o próprio banco do Pedify anota cada gravação: a tabela, o registro, os nomes dos campos que mudaram e a hora, e nunca os valores, nem o de antes, nem o de depois. Nas sessões, nas posições de quem entrega, nas lojas favoritas, nos avisos guardados na conta, na conversa do pedido, nas avaliações, nos códigos de acesso (os de entrada, os dos links enviados por e-mail e o da conexão da loja com uma plataforma de fora) e nas verificações de segurança dos formulários, a anotação é só uma contagem por hora, sem dizer qual registro mudou. Só quem opera o Pedify lê essas anotações, no painel da plataforma.
• Cópias de segurança do banco — antes de uma alteração feita pela administração do banco de dados, e quando quem opera o Pedify pede, o banco inteiro é copiado para um arquivo no próprio servidor do Pedify, para que a alteração possa ser desfeita. A cópia não sai do servidor e não é baixada pelo painel.
• Correções pela administração do banco de dados — quem opera o Pedify pode corrigir, criar ou apagar um registro pelo painel da plataforma, sempre com o motivo. A correção fica no registro das ações com o valor de antes e o de depois de cada campo que mudou, para poder ser desfeita; senhas e códigos não se leem nem se escrevem por ali. Quando a conta de quem é o dado é excluída, esses valores saem com ela, e o painel não traz de volta, de uma cópia de segurança, o que era dela. A administração também consulta e corrige o banco por instrução: a consulta não lê senhas e códigos, nem as conversas do pedido, as avaliações, as lojas favoritas e os avisos guardados na conta; a correção roda antes numa cópia à parte, pede o motivo e faz a cópia de segurança; e cada consulta e cada correção ficam no registro das ações com a forma da instrução, sem os valores escritos nela, e com as chaves dos registros que mudaram.
• Automação pela administração — quem opera o Pedify pode ligar programas de automação, inclusive assistentes de inteligência artificial, às funções da plataforma, por uma credencial criada no painel e revogável a qualquer momento. Eles agem como a conta de quem os ligou e só fazem o que essa conta faria pelo painel, com as mesmas regras. O que eles mudam fica no registro das ações em nome dessa conta, com o nome da integração e o endereço de rede de onde veio o pedido; e cada chamada fica num histórico próprio por noventa dias, com a função usada, o registro tocado, quando e como terminou, sem o conteúdo enviado ou recebido e sem a credencial.

Se você vende ou entrega pelo Pedify

• Lojas — CNPJ, razão social, endereço e contato da loja, as imagens e o cardápio publicados, e a conta do Mercado Pago em que ela recebe.
• Entregadores — veículo, placa, carteira de habilitação e documento do veículo quando o veículo os exige, foto do veículo, chave PIX para o repasse e a cidade de atuação. Os documentos são vistos por quem analisa a candidatura, e cada acesso a eles fica registrado. Depois da aprovação, a cidade de atuação muda por um pedido de quem entrega, com o motivo, que a equipe do Pedify aprova ou recusa, também com o motivo, ou pela própria equipe, com o motivo dela. O pedido, a decisão e quem decidiu ficam guardados; quem entrega acompanha o pedido no painel e recebe a decisão na conta, e quem representa as duas cidades é avisado da mudança feita, com o nome de quem entrega.
• Localização de quem entrega — com o turno aberto, guardamos apenas a última posição, para oferecer corridas próximas: ela é substituída a cada envio e apagada quando o turno fecha. Durante uma corrida, guardamos o trajeto daquela corrida, para quem pediu acompanhar a entrega; ele é apagado quando a corrida termina. Na porta de quem pediu, a posição do aparelho é conferida contra o ponto do endereço para confirmar a entrega ou o cliente ausente: dessa conferência guardamos, junto da corrida, só a distância até o endereço, a precisão e o horário, e não a posição. Fora do turno, nenhuma posição é guardada.
• Contratos — de cada aceite, registramos a versão, a data, o endereço de rede e um resumo do texto lido.
• Repasses — de cada repasse pago a quem entrega ou representa uma cidade, registramos o valor, a data, a chave PIX para onde ele foi e o identificador do PIX. Quem recebe vê os próprios repasses no painel e recebe no e-mail da conta o aviso de cada repasse registrado ou anulado; o registro feito por engano é anulado com o motivo, e não apagado. Os ajustes no repasse, de crédito ou de desconto, ficam com o valor, o motivo e quem os lançou; a contestação de um repasse fica com o texto de quem contestou e a resposta da equipe do Pedify, que chega como aviso na conta.
• Vínculo com o representante — do vínculo de um entregador com a equipe de quem representa a cidade, registramos quem pediu, quem aceitou, as datas e quem encerrou, com o motivo. Com o vínculo aceito, o representante vê as corridas do entregador vinculado que rendem para a equipe: o código do pedido, a loja, a data e o valor.

Pagamento

O pagamento é feito na plataforma, por PIX ou cartão de crédito, e processado pelo Mercado Pago por meio do AngatuCRM, o sistema interno da Angatu Sistemas. Os dados do cartão não passam pelo Pedify: eles são cifrados no seu aparelho pelo próprio Mercado Pago, e o que recebemos é um código de uso único e a bandeira. O provedor recebe o seu e-mail e, no cartão, também o CPF de quem paga. Guardamos a situação da cobrança e os valores do pedido.

Como você entra no Pedify

Com o Google. A entrada é intermediada pelo AngatuCRM. Nesse processo recebemos do Google o seu identificador de conta, o seu endereço de e-mail (e se ele está confirmado), o seu nome e a sua foto de perfil. Usamos esses dados para identificar você, montar o seu cadastro e manter a sua sessão aberta. A sua senha do Google nunca passa pelo Pedify: quem pede e confere a senha é o próprio Google, na tela dele.

O tratamento dos dados pelo Google é descrito na política de privacidade do Google. Você pode retirar a autorização concedida ao Pedify a qualquer momento, na página de aplicativos conectados à sua conta Google.

Com e-mail e senha. Da sua senha guardamos apenas um resumo feito de modo que ela não possa ser recuperada a partir dele — nem por nós. Para confirmar que o endereço é seu e para redefinir a senha, enviamos e-mails com um link de uso único e prazo curto; o envio passa pelo serviço de e-mail do Google.

Mapas e endereços

Para achar a localização de um endereço, o nosso servidor envia o texto do endereço — sem o seu nome — ao Photon, um serviço público de busca de endereços sobre os dados do OpenStreetMap. Os mapas mostrados nas telas carregam as imagens dos servidores do OpenStreetMap, que recebem o endereço de rede de quem está vendo o mapa. As consultas de CEP e de CNPJ feitas nos formulários vão ao ViaCEP e à BrasilAPI.

Chuva e frete

O frete pode subir quando está chovendo. Para saber se chove numa praça, o nosso servidor consulta o WeatherAPI.com, um serviço de dados do tempo. A consulta leva só uma posição aproximada — a média da localização das lojas no ar da praça, arredondada a cerca de um quilômetro — e nenhum nome, endereço ou telefone de quem pede, de quem entrega ou de quem tem a loja. Dados meteorológicos de WeatherAPI.com.

Proteção contra automação

Para distinguir pessoas de programas automáticos, o próprio Pedify faz uma verificação de segurança, sem serviço de fora, no cadastro, na entrada por e-mail e senha, na entrada pelo Google, no pedido do link para trocar a senha e no fechamento do pedido. Enquanto o formulário está aberto, o seu navegador conta as interações com a página — toques, cliques e movimentos do ponteiro, teclas, rolagens e trocas de campo — e o momento da primeira, sem registrar quais teclas, o que foi digitado nem por onde o ponteiro passou, e informa se ele mesmo se declara controlado por automação. O nosso servidor guarda essas contagens e o resultado da verificação com um resumo do seu endereço de rede, feito com uma chave que muda a cada dia e nunca é gravada: o resumo não revela o endereço e não se liga ao de outro dia. Quando a verificação fica em dúvida, aparece uma caixa para você confirmar que é uma pessoa.

As verificações saem do banco um dia depois de vencer. Os totais de cada resultado — quantas passaram, quantas pediram a confirmação, quantas foram recusadas —, sem nada que leve a uma pessoa, ficam sete dias, para quem opera o Pedify acompanhar a proteção.

Cookies e o que fica no seu aparelho

Usamos apenas cookies essenciais: o da sessão, que mantém você conectado por até 30 dias ou até você sair, e um de poucos minutos durante a entrada com o Google. Não usamos cookies de publicidade nem de rastreamento. O navegador guarda ainda, só no seu aparelho, a sacola que você está montando (até fechar a aba), algumas preferências de tela e, para quem entrega, as posições da corrida que ainda não puderam ser enviadas por falta de sinal. Quando você sai da conta, tudo isso é apagado do aparelho em que você está — também quando você sai de todos os aparelhos de uma vez —, e as posições que ainda não tinham sido enviadas saem junto.

Por quanto tempo guardamos

Dados de pedido são mantidos pelo prazo exigido pela legislação fiscal e de defesa do consumidor. Passado esse prazo, são apagados ou anonimizados. A localização de quem entrega segue as regras descritas acima, e uma sessão vence em 30 dias. O registro de acesso (o endereço de rede, a data e a hora de cada entrada na conta) fica seis meses, como manda o Marco Civil da Internet, e então é apagado. O registro das ações feitas na conta fica pelo mesmo prazo dos pedidos. As anotações das gravações ficam sete dias, e então são apagadas. As cópias de segurança do banco também ficam sete dias, e então são apagadas; até lá, guardam o que foi apagado depois delas.

Seus direitos

Você pode pedir acesso, correção, portabilidade ou exclusão dos seus dados, e revogar consentimentos, conforme a Lei Geral de Proteção de Dados. O pedido é atendido em até 15 dias.

A conta de quem pede pode ser excluída na própria página da conta, por um link de confirmação enviado ao e-mail dela. Saem o nome, o e-mail, o telefone, o CPF, os endereços salvos, as lojas favoritas e os avisos guardados, e a conta deixa de entrar. Os pedidos já feitos ficam, sem o nome de quem pediu, pelo prazo descrito acima; o registro das ações feitas na conta fica pelo mesmo prazo, sem os dados que elas gravaram; e o registro de acesso fica pelos seis meses que a lei manda. A conta com loja, cadastro de entregador ou papel na operação é excluída pelo encarregado, porque carrega contrato e documentos com prazo próprio de guarda.