LGPD para restaurantes: como cuidar da base de clientes

A LGPD para restaurantes vale mesmo para loja pequena

A LGPD para restaurantes não é assunto só de rede grande. A Lei 13.709/2018 (abre em nova aba), a Lei Geral de Proteção de Dados Pessoais, se aplica a qualquer empresa que trata dados de pessoas, e um delivery trata dados o dia inteiro: nome, telefone, endereço, histórico de pedidos.

A boa notícia é que cuidar bem da base de clientes não exige advogado na folha. Exige saber por que cada dado é coletado, usá-lo só para isso, deixar o cliente sair quando quiser e não deixar a base vazar por descuido. Este texto mostra como fazer isso na rotina de um restaurante. Não é consultoria jurídica: em caso de dúvida específica, consulte um advogado.

Que dados um restaurante coleta

Mais do que parece. Liste os seus:

Repare na linha das observações. "Alergia a camarão" é informação de saúde, e a LGPD trata dado de saúde como dado sensível, com regras mais rígidas. Use essa informação só para preparar o pedido com segurança, e nunca para segmentar marketing.

Base legal: o motivo que autoriza usar cada dado

A LGPD lista, no art. 7º, as hipóteses em que o tratamento de dados é permitido. Para um restaurante, três importam no dia a dia:

• Execução de contrato: o cliente pediu comida para entrega. Você precisa do nome, telefone e endereço para entregar. Não precisa pedir autorização extra para isso.
• Obrigação legal: dados que vão na nota fiscal e registros fiscais que você precisa guardar.
• Consentimento: mandar promoção, cupom e novidade. Aqui você precisa de autorização clara do cliente.

O erro mais comum é usar o telefone coletado para a entrega como lista de transmissão de promoções. O cliente deu o número para receber o pedido, não para receber oferta toda semana. Para marketing, peça.

Como pedir consentimento sem atrapalhar a venda

• Uma caixa de seleção no cadastro ou no checkout, desmarcada por padrão: "Quero receber promoções da loja por WhatsApp".
• Texto curto, dizendo o que o cliente vai receber e por qual canal.
• Registro de quando e como o cliente aceitou.
• Saída fácil: em toda mensagem de promoção, uma forma simples de parar de receber.

Base pequena com consentimento rende mais que base grande de quem nunca pediu para estar lá. Quem aceitou abre a mensagem. O texto sobre vender mais no WhatsApp mostra como usar essa base sem virar spam.

Os direitos do cliente

O art. 18 da LGPD lista os direitos do titular dos dados. Na prática, o cliente pode pedir:

• Confirmação de que você tem dados dele, e acesso a esses dados.
• Correção de dado errado ou desatualizado.
• Exclusão de dados tratados com base no consentimento, como a lista de promoções.
• Revogação do consentimento a qualquer momento.
• Informação sobre com quem você compartilhou os dados.

Tenha uma resposta pronta para os dois pedidos mais comuns: "quero sair da lista de promoções" e "quero que apaguem meu cadastro". O primeiro se resolve na hora. O segundo exige cuidado: dados ligados a notas fiscais e obrigações legais podem precisar ser mantidos, mas o uso para marketing termina.

Encarregado e as regras para pequeno porte

A LGPD exige, no art. 41, que o controlador indique um encarregado, a pessoa que atende os titulares e a autoridade. Para empresas pequenas, a Autoridade Nacional de Proteção de Dados (ANPD) (abre em nova aba) publicou a Resolução CD/ANPD nº 2/2022 (abre em nova aba), com regras simplificadas para os agentes de tratamento de pequeno porte, o que inclui microempresas e empresas de pequeno porte.

O que a resolução prevê, entre outros pontos:

• O agente de pequeno porte não é obrigado a indicar encarregado, mas, se não indicar, precisa manter um canal de comunicação com os titulares (art. 11).
• O registro das operações de tratamento pode ser feito de forma simplificada (art. 9º).
• Prazos em dobro para responder a titulares e à ANPD, em várias situações (art. 14).
• A dispensa não isenta a empresa do resto da LGPD, incluindo bases legais, princípios e direitos dos titulares (art. 6º).
• O tratamento simplificado não vale para quem faz tratamento de alto risco ou passa dos limites de receita da lei (art. 3º).

Para um restaurante pequeno, o canal de comunicação pode ser um e-mail ou um número de WhatsApp informado na política de privacidade do cardápio digital, com alguém responsável por responder.

Segurança: onde a base de clientes costuma vazar

Na maioria dos restaurantes, o risco não é um ataque sofisticado. É o descuido do dia a dia:

• Planilha de clientes enviada no grupo de WhatsApp da equipe.
• Senha única do sistema compartilhada por todos, inclusive por quem já saiu.
• Celular do atendente com centenas de contatos de clientes e sem bloqueio de tela.
• Via de entrega com telefone e endereço jogada no lixo da rua.
• Exportação da base salva num computador sem senha no caixa.

O que fazer:

1. Usuário individual para cada pessoa, com permissão só para o que ela usa. O entregador vê o endereço da entrega, não a base inteira.
2. Remova o acesso no dia em que alguém sai da equipe.
3. Não circule planilha. Se precisa exportar a base, faça e apague quando terminar.
4. Bloqueio de tela em todo celular e computador da loja.
5. Descarte as vias de entrega antigas de forma que não possam ser lidas.

A ANPD considera, para fins de sanção, a adoção de medidas de segurança e de boas práticas. Uma política simples, escrita em uma página e conhecida pela equipe, já ajuda.

Por quanto tempo guardar os dados

A LGPD manda encerrar o tratamento quando a finalidade é alcançada ou quando o titular revoga o consentimento, ressalvadas as hipóteses em que a lei permite manter os dados, como o cumprimento de obrigação legal. No restaurante, isso se traduz em três regras práticas:

• Dados fiscais (notas e registros contábeis) ficam pelo prazo que a legislação fiscal exige. Confirme o prazo com o seu contador.
• Dados de marketing ficam enquanto o cliente quiser receber. Saiu da lista, sai do disparo no mesmo dia.
• Dados operacionais soltos (vias impressas, prints de conversa, planilhas exportadas) não têm motivo para ficar. Descarte com regularidade.

Uma limpeza simples a cada seis meses ajuda: apague exportações antigas, revise quem tem acesso ao sistema e confira se a lista de promoções só tem quem aceitou.

Se houver um incidente

Se a base vazar (um celular roubado com a lista de clientes, uma planilha publicada por engano, um acesso indevido), a LGPD prevê no art. 48 que o controlador comunique à ANPD e aos titulares o incidente que possa causar risco ou dano relevante.

Tenha anotado: quem decide, o que verificar (quais dados, quantos clientes, desde quando) e onde consultar a orientação atual da ANPD sobre comunicação de incidentes. Agir rápido reduz o dano.

O que acontece se não cumprir

O art. 52 da LGPD prevê sanções administrativas que vão de advertência a multa simples de até 2% do faturamento da empresa no último exercício, limitada a R$ 50 milhões por infração, além de publicização da infração e bloqueio ou eliminação dos dados. Para um restaurante pequeno, a reclamação de um cliente e o dano à reputação costumam aparecer antes de qualquer multa.

Checklist de LGPD para o restaurante

• Lista dos dados que você coleta e para que serve cada um.
• Política de privacidade curta, publicada no cardápio digital.
• Canal de contato para pedidos dos clientes, com responsável.
• Consentimento separado para marketing, com registro.
• Saída fácil em toda mensagem promocional.
• Usuário e senha individuais, com acesso removido na saída.
• Regra de não circular planilha de clientes.
• Plano simples para incidente.

Como fazer isso no Rest Food

No Rest Food, a base de clientes é da loja e pode ser exportada pelo dono. Cada pessoa da equipe tem usuário próprio com papel definido (há papéis como garçom e contador), o que limita quem vê o quê. O cardápio digital tem identificação do cliente para pedido, e o cashback e a fidelidade usam a base própria da loja. O robô de WhatsApp usa a API oficial e precisa de conta Meta Business verificada; é módulo avulso.

Para comparar sistemas também por esse critério (quem é dono dos dados e se dá para exportar), veja como escolher um sistema para restaurante.