Política de Privacidade

Esta Política de Privacidade explica, de forma direta, como o Cuco trata dados pessoais ao operar a plataforma de agendamento disponível em usecuco.com.br (site e diretório público), em app.usecuco.com.br (painel dos estabelecimentos e páginas públicas de reserva) e nas mensagens que enviamos por e-mail e WhatsApp. Ela foi escrita em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei nº 13.709/2018), o Marco Civil da Internet (Lei nº 12.965/2014) e, quando aplicável, o Código de Defesa do Consumidor.

Escrevemos esta política a partir do que o nosso sistema realmente faz. Se você encontrar aqui algo que não corresponde ao que viu na plataforma, avise pelo canal da seção 14 — corrigir a política ou o produto é obrigação nossa.

1. Definições rápidas

• Cuco (“nós”): a plataforma e a empresa que a opera, identificada na seção 14.
• Estabelecimento: restaurante, salão, barbearia, clínica ou outro negócio que cria uma conta no Cuco para gerenciar sua agenda. Inclui os membros da equipe que o Estabelecimento convida para o painel.
• Cliente final (“você”, quando faz uma reserva): a pessoa que reserva, entra na fila de espera, confirma presença ou avalia um atendimento em um Estabelecimento pelo Cuco.
• Visitante: quem navega no site usecuco.com.br sem conta.
• Controlador: quem decide por que e como os dados são tratados. Operador: quem trata os dados em nome do controlador e seguindo suas instruções. Suboperador: fornecedor que o operador usa para prestar o serviço (art. 5º, VI e VII da LGPD).

2. Quem é responsável por quais dados

O Cuco atua em dois papéis distintos, e isso muda quem responde a você:

Na prática: se você é cliente final, o Estabelecimento decide para que seus dados são usados (por exemplo, se envia lembretes, se exige sinal, se pede avaliação) e é quem pode atender seus pedidos diretamente. O Cuco fornece a ferramenta, segue as instruções do Estabelecimento registradas nas configurações da conta e nos Termos e Condições, e também recebe e encaminha seus pedidos, como explica a seção 11. Isso não afasta as responsabilidades que a LGPD atribui ao operador (arts. 39 e 42): quando a falha for nossa, respondemos por ela.

3. Quais dados coletamos, exatamente

Coletamos apenas o que o serviço precisa. A lista abaixo é o inventário completo do que a plataforma armazena, por tipo de pessoa.

3.1. Se você visita o site (usecuco.com.br)

• Registros técnicos da hospedagem: endereço IP, data e hora, página acessada e tipo de navegador, gerados automaticamente pelo servidor para segurança e diagnóstico. Não usamos ferramentas de analytics, pixels de publicidade nem rastreadores de terceiros.
• Limite de requisições: o IP é usado, em memória e sem gravação em banco, para impedir abuso dos formulários e da busca do Explorar.
• Busca de endereço no Explorar: o texto do endereço ou CEP que você digita é enviado, pelo nosso servidor, aos fornecedores de geocodificação listados na seção 6. Se você autorizar a localização no navegador, as coordenadas servem apenas para ordenar os resultados por distância e não são gravadas em banco de dados.
• Preferências de tela: guardamos no armazenamento local do seu navegador (localStorage) apenas o fato de você ter fechado um aviso. Nada disso é enviado para nós.
• Formulário de contato: nome, e-mail, WhatsApp (opcional), tipo de negócio e mensagem. Formulário de plano sob medida: além desses, nome do negócio, telefone, tipo de negócio, número estimado de unidades, usuários, profissionais, serviços, volume de reservas e mensagens, ciclo de cobrança e um texto livre de contexto. Os dois formulários são enviados por e-mail à nossa equipe e não são gravados em banco de dados; usamos os dados só para responder ao seu pedido.

3.2. Se você tem conta de Estabelecimento (ou foi convidado para uma)

• Identificação e acesso: nome, e-mail, senha (armazenada apenas como hash criptográfico) ou, se entrar com o Google, o identificador, nome, e-mail e foto de perfil da sua conta Google e os tokens de autenticação emitidos pelo Google; data e hora em que você aceitou esta Política e os Termos; e-mails de acesso (link mágico, redefinição de senha, verificação).
• Segundo fator de autenticação (opcional): o segredo do aplicativo autenticador e os códigos de recuperação, se você ativar a verificação em duas etapas.
• Sessões: identificador da sessão, endereço IP e navegador usados em cada login, para você poder reconhecer acessos e para nós detectarmos uso indevido.
• Equipe: e-mail e papel (dono, gerente ou equipe) de quem você convida; quem convidou quem; vínculo de “administrador geral” entre unidades da mesma rede.
• Dados do negócio: nome, endereço da unidade (inclusive coordenadas), telefone e contatos públicos (WhatsApp, Instagram, Facebook), horários, logo e foto de capa, serviços e preços, cardápio com fotos e preços, nomes dos profissionais da equipe que atendem (que são dados pessoais dessas pessoas — você responde por informá-las), mesas ou recursos, e todas as configurações da página pública, dos avisos e das regras automáticas.
• Assinatura e cobrança: plano contratado, status e períodos da assinatura, créditos de cota comprados, o identificador do seu cadastro no Stripe e o histórico de eventos de cobrança. Não armazenamos números de cartão: eles são digitados diretamente no Stripe.
• Uso da plataforma: contadores mensais de reservas e de mensagens de WhatsApp enviadas, usados para aplicar os limites do plano e para estatísticas agregadas.
• Suporte: quando você usa “Ajuda & feedback”, recebemos por e-mail o tipo do pedido, a mensagem, os anexos que você escolher, seu nome, seu e-mail e a unidade de onde escreveu.
• Trilha de operações internas: quando a nossa equipe executa uma operação administrativa na sua conta (por exemplo, ajustar um limite), registramos qual operação, quem executou, quando e sobre qual conta.

3.3. Se você é cliente final de um Estabelecimento

Estes dados são tratados pelo Cuco em nome do Estabelecimento. Quais deles são pedidos depende de como cada Estabelecimento configurou sua página; o formulário sempre indica o que é obrigatório.

• Para reservar ou entrar na fila de espera: nome, telefone, e-mail (opcional por padrão; alguns Estabelecimentos o exigem, ou ele se torna necessário quando o aviso escolhido só chega por e-mail), número de pessoas, data e horário, serviço e profissional escolhidos, itens do cardápio pré-selecionados e as observações que você mesmo escrever.
• Respostas a perguntas do Estabelecimento: campos personalizados do formulário e formulários ligados a serviços específicos, criados pelo próprio Estabelecimento. Quem define essas perguntas é o Estabelecimento (ver seção 12 sobre dados sensíveis).
• Verificação em duas etapas: se o Estabelecimento ativar, enviamos um código por e-mail ou WhatsApp e guardamos apenas o hash desse código, por poucos minutos, para confirmar que o contato é seu.
• Login com Google: se o Estabelecimento exigir login para reservar, usamos o e-mail da sua conta Google para identificar a reserva.
• Ficha de cliente: o Estabelecimento pode manter uma ficha sua com nome, telefone, e-mail, anotações e data de aniversário (a data de aniversário só é inserida pelo Estabelecimento, nunca pedida no formulário público). A ficha registra também o histórico de comparecimento — quantas vezes você confirmou, compareceu, cancelou ou faltou.
• Anotações internas do Estabelecimento: o Estabelecimento pode registrar, em campo separado e visível só no painel dele, observações sobre o atendimento (por exemplo, o que foi combinado). Esse texto é de autoria do Estabelecimento, nunca é enviado a você em mensagens e é apagado nos mesmos prazos das demais observações.
• Mensagens: para cada e-mail ou WhatsApp enviado a você, registramos canal, data, status de entrega e o identificador dado pelo provedor. Não guardamos o texto das suas respostas: no WhatsApp, processamos apenas o toque no botão de confirmação; texto livre digitado é ignorado pelo nosso sistema.
• Links pessoais: os links de gerenciar, confirmar, avaliar e acompanhar a fila que enviamos a você contêm um código assinado que identifica a sua reserva. Quem tiver o link acessa essas telas — não o compartilhe.
• Sinal por PIX: se o Estabelecimento exigir sinal, registramos valor, status, prazo, o identificador da transação no Stripe e o código PIX gerado. Os dados da sua conta bancária são tratados pelo seu banco e pelo Stripe, não por nós.
• Avaliação pós-visita: nota geral, notas por aspecto, comentário livre e, se você marcar a caixa correspondente, o seu consentimento para publicar comentário e nota no diretório público, identificados apenas pelo seu primeiro nome.
• Consentimento para novidades: se o Estabelecimento exibir a opção e você marcá-la (ela nunca vem pré-marcada), registramos a data e hora do seu aceite em receber novidades e promoções daquele Estabelecimento. O Cuco não usa esse consentimento para comunicações próprias.
• Lista de contatos impedidos: o Estabelecimento pode impedir um telefone ou e-mail de fazer novas reservas, registrando nome e motivo. Se a sua ficha for anonimizada, nome e motivo são apagados e permanece apenas o contato, em forma normalizada, para que o impedimento continue valendo.
• Dados técnicos: endereço IP, usado em memória para limitar tentativas, e a verificação anti-robô Turnstile (Cloudflare), que analisa sinais do seu navegador para distinguir pessoas de programas automatizados.

4. Para que usamos e com qual base legal

Quando a base legal é o legítimo interesse, fizemos a ponderação exigida pelo art. 10: usamos o mínimo de dados, para uma finalidade que o titular espera no contexto (quem reserva espera ser lembrado e confirmar presença) e com a possibilidade de oposição pelos canais da seção 11.

5. Decisões automatizadas e como pedir revisão

A plataforma aplica algumas regras automáticas. Elas são configuradas pelo Estabelecimento, dentro do que o Cuco oferece, e você tem direito a saber quais são e a pedir revisão por uma pessoa (art. 20 da LGPD):

• Liberação automática do horário: se o Estabelecimento ativar, uma reserva não confirmada até o prazo indicado no pedido de confirmação é cancelada e o horário volta a ficar disponível. A mensagem que pede a confirmação informa o prazo e essa consequência.
• Política de faltas: o Estabelecimento pode definir que, a partir de um certo número de faltas registradas na sua ficha, novas reservas passem a exigir aprovação manual ou sejam bloqueadas.
• Contatos impedidos: um telefone ou e-mail incluído pelo Estabelecimento na lista de impedidos não consegue reservar na página dele. Por segurança, a página exibe uma mensagem neutra.
• Fila de espera automática: quando um horário lotado libera, o sistema pode confirmar ou oferecer a vaga ao primeiro da fila, conforme a configuração do Estabelecimento.
• Reserva duplicada e limites de tentativas: a plataforma impede reservas repetidas para o mesmo contato no mesmo horário e limita tentativas por IP.
• Anti-robô: a verificação Turnstile pode pedir uma interação adicional antes de concluir a reserva.

Para contestar qualquer dessas decisões, fale com o Estabelecimento — ele pode aprovar a reserva, remover o impedimento, corrigir o histórico de faltas e ajustar as regras. Se não obtiver resposta, escreva para reserva.cuco@gmail.com e faremos a intermediação.

6. Com quem compartilhamos (suboperadores)

Não vendemos dados pessoais, não os cedemos a corretores de dados nem os usamos para publicidade de terceiros. Compartilhamos dados apenas com quem precisa deles para o serviço funcionar:

• O Estabelecimento e sua equipe: veem os dados das reservas feitas com ele. O Cuco envia ao Estabelecimento, por e-mail, resumos operacionais que podem conter nome e telefone de clientes (agenda do dia, reservas pendentes, aniversariantes do período).
• Diretório público Explorar: se o Estabelecimento optar por aparecer nele, publicamos os dados do negócio (nome, endereço, horários, contatos públicos, foto de capa, disponibilidade) e a média das avaliações. Comentários individuais só aparecem com o consentimento de quem avaliou, identificados pelo primeiro nome.
• Fornecedores de infraestrutura, listados abaixo, contratados sob termos que os obrigam a proteger os dados e a usá-los só para nos prestar o serviço.
• Autoridades públicas, quando houver obrigação legal ou ordem judicial, no limite do que for exigido.

Se trocarmos ou adicionarmos um fornecedor que trate dados pessoais, atualizamos esta lista antes da mudança entrar em operação e avisamos os Estabelecimentos pelo e-mail da conta.

7. Transferência internacional de dados

A maioria dos fornecedores acima está sediada nos Estados Unidos, e os dados podem ser armazenados ou processados fora do Brasil. Isso caracteriza transferência internacional (arts. 33 a 36 da LGPD). Ela ocorre com base em cláusulas contratuais de proteção de dados firmadas com cada fornecedor, em linha com a Resolução CD/ANPD nº 19/2024, e para finalidades estritamente necessárias à execução do serviço que você contratou ou usou. Os fornecedores mantêm certificações de segurança reconhecidas (como SOC 2 e ISO 27001) e políticas próprias, indicadas na tabela da seção 6.

8. Cookies e tecnologias semelhantes

Usamos apenas cookies e armazenamentos estritamente necessários. Por isso não exibimos banner de cookies: não há cookie de publicidade, de analytics ou de terceiros para você aceitar ou recusar.

Você pode apagar ou bloquear cookies nas configurações do navegador; sem o cookie de sessão, porém, não é possível permanecer conectado ao painel.

9. Por quanto tempo guardamos

10. Como protegemos os dados

Adotamos medidas técnicas e administrativas compatíveis com o porte da operação e o risco do tratamento (art. 46 da LGPD):

• Criptografia em trânsito (HTTPS/TLS) em todas as páginas, APIs e mensagens;
• Isolamento dos dados por Estabelecimento: cada consulta é restrita à organização de quem está logado, e o acesso ao painel segue papéis (dono, gerente, equipe);
• Senhas armazenadas apenas como hash; segundo fator opcional para Estabelecimentos; segundo fator obrigatório e lista de e-mails autorizados para o painel interno da nossa equipe;
• Credenciais de integrações cifradas em repouso; links pessoais com código assinado; webhooks de pagamento e de WhatsApp aceitos apenas com assinatura válida;
• Limite de tentativas e verificação anti-robô nas páginas públicas;
• Regra de registro (logging) que proíbe dados pessoais nos logs, porque eles ficam fora do alcance das rotinas de anonimização;
• Anonimização programada e ferramentas de exclusão e exportação no painel; cópias de segurança diárias verificadas e guardadas em local separado da aplicação;
• Registro de segurança do projeto revisado a cada mudança relevante.

Nenhum sistema é infalível. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante a você, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados nos prazos do art. 48 da LGPD e do regulamento da ANPD (atualmente, 3 dias úteis a partir do conhecimento do incidente), informando a natureza dos dados, os riscos, as medidas adotadas e o que você pode fazer.

11. Seus direitos e como exercê-los

A LGPD (art. 18) garante a você, a qualquer momento e gratuitamente, o direito de obter:

• confirmação de que tratamos seus dados e acesso a eles;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade dos dados a outro fornecedor de serviço;
• eliminação dos dados tratados com base no seu consentimento;
• informação sobre com quem compartilhamos seus dados;
• informação sobre a possibilidade de não dar consentimento e as consequências disso;
• revogação do consentimento, sem afetar a licitude do tratamento anterior;
• oposição a tratamento baseado em legítimo interesse, se você entender que ele viola a lei;
• revisão de decisões tomadas unicamente de forma automatizada (art. 20), descritas na seção 5.

Se você é cliente final

O caminho mais rápido é o Estabelecimento onde você reservou: ele é o controlador dos seus dados e tem, no painel, ferramentas para localizar sua ficha pelo telefone ou e-mail, exportar uma cópia dos seus dados (ficha, reservas, respostas que você deu e mensagens enviadas) e anonimizar tudo de forma irreversível. Pelos links pessoais que você recebe, também é possível alterar ou cancelar a própria reserva e sair da fila de espera. Para deixar de receber novidades de um Estabelecimento, use o canal indicado na mensagem ou fale com ele.

Você também pode escrever diretamente para nós em reserva.cuco@gmail.com. Como operador, encaminharemos o pedido ao Estabelecimento e acompanharemos a resposta; nos casos em que a lei nos obriga a agir diretamente, agiremos.

Se você é Estabelecimento

No painel você edita seus dados, seus membros e suas configurações, exporta a lista de clientes que consentiram em receber novidades, e pode excluir a organização inteira (fluxo confirmado por e-mail). Para acesso completo aos dados da sua conta, portabilidade ou qualquer outro pedido, escreva para reserva.cuco@gmail.com.

Prazos e verificação

Respondemos pedidos em até 15 dias (art. 19, II). Para proteger você, podemos pedir informações que confirmem que o pedido vem do próprio titular — por exemplo, responder a partir do e-mail ou telefone cadastrado. Se não pudermos atender um pedido, explicaremos o motivo e a base legal. Você também pode apresentar reclamação à ANPD (gov.br/anpd) ou aos órgãos de defesa do consumidor.

12. Dados pessoais sensíveis

O Cuco não pede dados pessoais sensíveis (saúde, vida sexual, dado genético ou biométrico, origem racial ou étnica, convicção religiosa, opinião política ou filiação a organizações — art. 5º, II da LGPD) em nenhum campo próprio, e não é prontuário, registro clínico nem repositório de dados de saúde.

A plataforma tem campos de texto livre (observações, campos personalizados e formulários por serviço) cujo conteúdo é definido por quem escreve. Por isso:

• os Termos e Condições proíbem os Estabelecimentos de pedir ou registrar dados sensíveis nesses campos, e a tela do painel alerta sobre isso;
• se um Estabelecimento lhe pedir um dado dessa natureza, o pedido é de responsabilidade dele como controlador, que precisa ter a base legal do art. 11 para o tratamento — o que não afasta a nossa responsabilidade como operador pelo que estiver ao nosso alcance;
• quando você mesmo informa uma alergia ou restrição alimentar para viabilizar o seu atendimento, tratamos isso como uma manifestação sua, específica para aquela reserva, usada apenas para o atendimento e apagada nos prazos da seção 9. Informe apenas o mínimo necessário;
• o Cuco não faz varredura automática do conteúdo desses campos: fazê-lo seria um tratamento novo de dado sensível. Se você encontrar uso indevido, avise-nos pelo canal da seção 14.

13. Crianças e adolescentes

O Cuco é destinado a maiores de 18 anos. Não criamos contas para menores e não direcionamos a página de reserva a eles; reservas para crianças e adolescentes devem ser feitas por um responsável, que informa apenas o número de pessoas. Se soubermos que coletamos dados de um menor sem a participação de um responsável, os eliminaremos ou anonimizaremos.

14. Quem responde pelos seus dados e como falar conosco

O Cuco é operado por Lucas Felipe Kavada Tanaka Consultoria em Tecnologia da Informação LTDA, inscrita no CNPJ sob o nº 48.516.068/0001-54, com sede em R. Arcésio Guimarães, 555 — Casa 9, Cond. Percon X Residencial — Tarumã, Curitiba/PR — CEP 82530-100.

Encarregado pelo tratamento de dados pessoais (art. 41): Lucas Felipe Kavada Tanaka — reserva.cuco@gmail.com. Esse é o canal para exercer direitos, tirar dúvidas sobre esta política e reportar incidentes. Se preferir, use a página de contato. Respondemos em português, no prazo da seção 11.

15. Alterações desta política

Esta política pode ser atualizada quando o produto ou a legislação mudar. A data de vigência aparece no topo. Mudanças relevantes — como um novo fornecedor, uma nova finalidade ou um prazo de retenção diferente — serão comunicadas aos Estabelecimentos pelo e-mail da conta com antecedência razoável, e aos clientes finais por aviso na página de reserva quando afetarem o tratamento dos seus dados. A versão anterior pode ser solicitada pelo canal da seção 14.