Política de Privacidade
1. Quem trata os seus dados
Controladora: 66.701.743 HUGO RAFAEL PEREIRA ELETERIO (nome fantasia Cora), CNPJ 66.701.743/0001-05, Travessa Ari Pinto Lima, 41A, Fonseca, Niterói/RJ, CEP 24120-180.
Encarregado pelo tratamento de dados (LGPD, art. 41): a Cora, pelo e-mail privacidade@acora.com.br.
Esta Política se aplica ao portal app.acora.com.br, ao site acora.com.br, ao WhatsApp da Cora e a toda a relação de assinatura. Ela complementa os Termos de Uso.
2. Quais dados a gente coleta
| Dado | Quando | Para quê |
|---|---|---|
| Nome, CPF, e-mail, WhatsApp | no cadastro | identificar você, emitir cobrança, comunicar |
| Endereço completo | no cadastro | entregar e definir rota |
| Dados do Destinatário, quando diferente do Assinante | no cadastro ou pelo WhatsApp | entregar e comunicar sobre a entrega |
| Composição da assinatura, cesta semanal, extras, trocas, pausas | durante a assinatura | produzir e entregar o que você pediu |
| Histórico de cobranças e pagamentos | a cada ciclo | cobrar, emitir extrato, cumprir obrigações fiscais |
| Referência ao meio de pagamento (token e últimos 4 dígitos do cartão) | se você pagar com cartão | permitir a cobrança recorrente sem armazenar o número do cartão |
| Conversas pelo WhatsApp e e-mail | quando você fala com a Cora | atender, registrar pedidos e combinados |
| Dados técnicos de acesso ao Portal | ao usar o Portal | segurança e obrigação legal (Marco Civil, art. 15) |
O que a Cora não coleta: o número completo, validade e código de segurança do seu cartão. Esses dados são informados diretamente ao Asaas, na página de pagamento dele, e ficam armazenados apenas lá. A Cora pode guardar um token — uma referência ao cartão que não permite reconstituir o número — para manter a cobrança recorrente.
O Portal usa armazenamento local do navegador para manter você conectado. O site e o Portal usam Vercel Web Analytics para medir visitas de forma agregada; a ferramenta não usa cookies nem identifica você individualmente. Não há cookies de publicidade nem rastreadores de redes sociais.
Restrições alimentares e alergias. A Cora não pede informação sobre sua saúde. Se você, por iniciativa própria, contar pelo WhatsApp que você ou o Destinatário tem alergia ou restrição alimentar, isso é dado pessoal sensível (LGPD, art. 11). A Cora trata essa informação apenas para montar a sua cesta e orientar a entrega, com base no seu consentimento, dado no momento em que você compartilha. Ela fica registrada na conversa e, se necessário, como observação no seu cadastro, e é apagada a seu pedido. A responsabilidade por conferir alergênicos antes de consumir continua sendo sua, conforme a cláusula 10 dos Termos.
Novidades e conteúdo. No cadastro você escolhe se quer receber novidades, conteúdo e cardápio da Cora fora das comunicações operacionais. Essa escolha é opcional, fica registrada no seu cadastro e pode ser mudada a qualquer momento pelo WhatsApp ou pelo link de descadastro nos e-mails.
3. Para que e com qual base legal
| Finalidade | Base legal (LGPD, art. 7º) |
|---|---|
| Executar a assinatura: produzir, entregar, cobrar, atender | execução de contrato (inc. V) |
| Cumprir obrigações fiscais e contábeis | obrigação legal (inc. II) |
| Guardar registros de acesso ao Portal | obrigação legal (inc. II) |
| Enviar comunicações operacionais | execução de contrato (inc. V) |
| Enviar novidades, conteúdo e cardápio | consentimento (inc. I), revogável |
| Prevenir fraude e garantir a segurança do Portal | legítimo interesse (inc. IX) |
| Manter lista de espera para áreas ainda não atendidas | consentimento (inc. I) |
| Tratar alergia ou restrição alimentar compartilhada por você | consentimento específico (art. 11, inc. I) |
| Medir visitas ao site e ao Portal de forma agregada | legítimo interesse (inc. IX) |
A Cora não vende dados pessoais e não usa seus dados para publicidade de terceiros.
4. Com quem os dados são compartilhados
A Cora opera com prestadores de serviço (operadores, LGPD art. 39) que tratam dados em nome dela, apenas para as finalidades acima e sob obrigação de sigilo:
| Operador | O que faz | Dados envolvidos |
|---|---|---|
| Supabase | banco de dados e autenticação | cadastro, assinatura, histórico |
| Vercel | hospedagem e medição agregada de visitas | dados técnicos de acesso |
| Asaas | processamento de cobranças e pagamentos | nome, CPF, e-mail, WhatsApp, dados de pagamento |
| Resend | envio de e-mails | nome, e-mail |
| Meta (WhatsApp) | comunicação 1:1 | nome, WhatsApp, conteúdo das conversas |
| operação interna: planilhas, agenda e e-mail | dados de cadastro e de operação | |
| ClickUp | gestão de tarefas da operação | referências a pedidos e assinantes |
| Notion | documentação da operação | referências a pedidos e assinantes |
| Anthropic | assistente de inteligência artificial usado na operação interna, com acesso ao banco de assinantes para planejamento de produção e conferência de números | dados de cadastro, assinatura e histórico |
| Entregador terceirizado | entrega em domicílio | nome, endereço, WhatsApp |
Alguns desses operadores armazenam dados fora do Brasil (Estados Unidos e União Europeia). A transferência internacional se dá com base no art. 33 da LGPD, para execução do contrato e mediante cláusulas contratuais de proteção de dados desses prestadores.
A Cora também pode compartilhar dados quando exigido por lei, ordem judicial ou autoridade competente.
5. Por quanto tempo a gente guarda
| Dado | Prazo |
|---|---|
| Dados de cadastro e histórico de assinatura | enquanto ativa e por 12 meses após o cancelamento |
| Registros de cobrança e pagamento | 5 anos após cada cobrança, por obrigação fiscal e prescricional |
| Registros de acesso ao Portal | 6 meses (Marco Civil da Internet, art. 15) |
| Conversas de WhatsApp e e-mail | pelo mesmo prazo do cadastro |
| Token do meio de pagamento | até o cancelamento da assinatura ou troca do meio de pagamento |
| Lista de espera | até a área ser atendida ou até você pedir a exclusão |
Terminados os prazos, os dados são apagados ou anonimizados.
6. Seus direitos (LGPD, art. 18)
Você pode, a qualquer momento e sem custo, pedir à Cora:
- confirmação de que seus dados são tratados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade;
- portabilidade dos dados para outro fornecedor;
- eliminação dos dados tratados com base no seu consentimento;
- informação sobre com quem a Cora compartilhou seus dados;
- revogação do consentimento para comunicações de novidades e conteúdo;
- informação sobre a possibilidade de não fornecer um dado e as consequências disso.
Pedidos pelo e-mail do Encarregado ou pelo WhatsApp da Cora. A Cora responde em até 15 dias. Alguns dados não podem ser apagados enquanto houver obrigação legal de guardá-los (seção 5); nesse caso a Cora informa o motivo e o prazo.
Como fazer, na prática:
| O que você quer | Onde |
|---|---|
| Ver os dados do seu cadastro e da sua assinatura | no Portal, em Perfil |
| Corrigir nome, endereço, WhatsApp ou e-mail | pelo WhatsApp da Cora |
| Parar de receber novidades e conteúdo | link de descadastro no e-mail, ou pedido pelo WhatsApp |
| Apagar uma alergia ou restrição que você compartilhou | pedido pelo WhatsApp |
| Receber uma cópia de todos os seus dados | pedido ao Encarregado, por e-mail |
| Apagar seus dados após o cancelamento | pedido ao Encarregado, por e-mail |
Você também pode apresentar reclamação à Autoridade Nacional de Proteção de Dados (ANPD).
7. Como a gente protege os dados
- Acesso ao banco de dados restrito, com autenticação e registro de acessos.
- Comunicação criptografada (HTTPS) entre o Portal e os servidores.
- Dados de cartão nunca passam pelos sistemas da Cora.
- Backoffice acessado apenas pelo responsável pela operação.
- Em caso de incidente de segurança com risco relevante para você, a Cora comunica você e a ANPD nos prazos da lei.
Nenhum sistema é totalmente seguro. A Cora adota medidas compatíveis com o tamanho da operação e revisa essas medidas conforme cresce.
8. Menores de idade
O Portal e a assinatura são destinados a maiores de 18 anos. A Cora não coleta intencionalmente dados de menores. Se você indicar um Destinatário menor de idade, você responde pelo consentimento como responsável legal.
9. Mudanças nesta Política
Alterações relevantes são comunicadas por e-mail e WhatsApp com pelo menos 30 dias de antecedência. A versão vigente, com data, fica publicada em acora.com.br/privacidade.
10. Conflito entre documentos
Se houver conflito entre esta Política, os Termos de Uso e o Anexo I, prevalece a regra mais protetiva para você.