Política de Privacidade do Aura Bar

Quem é responsável pelos seus dados

O responsável pelos dados descritos aqui é o Aura Bar — Havanna Restaurante e Entretenimentos LTDA, inscrita no CNPJ sob o nº 19.999.878/0001-00, Avenida Londres, 67, Eldorado, Contagem/MG, CEP 32340-570.

Para falar sobre seus dados, escreva para somosaurabar@gmail.com ou use a página /excluir-meus-dados, que registra o pedido e avisa a equipe.

Este texto é a versão lgpd-v4, em vigor desde 2026-09-16. Quando você marca a caixa de consentimento em um dos três formulários que têm essa caixa, guardamos junto a data, a hora e a identificação do texto que estava na tela — é assim que dá para saber, depois, exatamente o que você aceitou. A lista de novidades tem identificação própria (lgpd-novidades-v2), porque o que se autoriza ali é diferente.

Na página de pedidos sobre os seus dados não guardamos consentimento, e a razão é que ali não há consentimento a guardar: exercer um direito seu sobre os seus dados não depende de você nos autorizar. O que fica registrado é o pedido, a data e a hora.

O que coletamos, formulário por formulário

O site do Aura Bar tem quatro formulários e mais nada. Fora deles, o site não pede dado nenhum. A reserva de aniversário não é formulário: acontece numa conversa pelo WhatsApp ou pelo Instagram, descrita no fim desta lista.

Nos três primeiros há uma caixa de consentimento que precisa ser marcada. Sem ela o envio não acontece — não é formalidade de tela, é o botão que fica travado. O quarto, o de pedidos sobre os seus dados, é diferente e está explicado na lista.

A caixa da lista de novidades tem texto próprio e versão própria, e não é a mesma dos outros. O motivo é a finalidade: nos demais você entrega um dado para receber uma coisa que pediu; ali você autoriza a casa a te procurar depois. São autorizações diferentes e ficam registradas como tal.

• Formulário da galeria de fotos — nome, WhatsApp e data de nascimento. É o cadastro que abre as fotos em alta resolução. Guardamos também qual foto foi baixada e em que momento.
• Formulário de trabalhe conosco — nome, e-mail, telefone, área de interesse e o arquivo do seu currículo.
• Formulário da lista de novidades — nome, WhatsApp e data de nascimento. É a lista por onde a casa avisa a programação. Você entra porque quer receber, e sai quando quiser.
• Formulário de pedidos sobre os seus dados — seu e-mail e qual pedido você está fazendo (acesso, correção ou exclusão). Ele não tem caixa de consentimento, e não é esquecimento: pedir acesso aos seus próprios dados não é algo que você precise nos autorizar a fazer. O que a caixa dessa página pede é outra coisa — que você confirme ter entendido que o pedido fica registrado na hora e é executado depois que confirmarmos que é você. Por isso o e-mail que você digita ali é usado para te encontrar e responder, e não entra em lista de mensagem nenhuma.
• Reserva de aniversário, pela conversa no WhatsApp ou no Instagram — a página de aniversários tem um botão que abre uma conversa com a casa no WhatsApp, com uma mensagem pronta que você envia se quiser. Você também pode falar com a casa pelo Instagram, e fechar a reserva por lá. No Instagram a conversa acontece dentro da nossa ferramenta de conversa, o Respond.io, e pode ser conduzida pela atendente virtual da casa, um assistente automático — a qualquer momento você pode pedir para falar com uma pessoa. Para fechar a reserva pedimos o nome completo do aniversariante, a data de nascimento, a data da comemoração e o número de pessoas. Se você quiser o convite digital, pedimos também uma foto e o nome que vai no convite, e podemos perguntar a numeração do seu calçado para o mimo da noite. Não pedimos CPF nem e-mail. Essa conversa não tem caixa de consentimento: você nos passa esses dados para organizar a reserva que pediu, e o que você escreve fica no histórico da conversa. Os dados da reserva são anotados numa planilha da casa, no Google (ver "Para onde os seus dados vão"). Antes, a reserva era um formulário no site que pedia também o CPF.

Por que pedimos cada coisa

Cada dado tem um uso concreto. Se um dado não serve para nada, ele não deveria ser pedido — nem no formulário, nem na conversa.

• Nome — para falar com você pelo seu nome, no WhatsApp e na reserva.
• WhatsApp — é o canal de conversa da casa e é também como reconhecemos que é você. Se você preencheu a galeria em março e entrou na lista de novidades em agosto, é pelo WhatsApp que juntamos os dois num cadastro só, em vez de te tratar como duas pessoas diferentes.
• Data de nascimento — é o gatilho do convite de aniversário. Sem ela, a mensagem não tem quando disparar. Na reserva de aniversário, é o que liga a comemoração ao seu aniversário, porque as condições de aniversário da casa valem perto dessa data.
• E-mail — no trabalhe conosco, para responder sua candidatura; na página de pedidos sobre seus dados, para te encontrar e responder. A reserva de aniversário não pede e-mail: ela acontece toda na conversa, no WhatsApp ou no Instagram.
• Data da comemoração e número de pessoas — na conversa de reserva, para organizar a noite.
• Foto e nome no convite — só se você quiser o convite digital: é com eles que a casa monta a arte que você recebe na conversa.
• Numeração do calçado — na reserva de aniversário, para o mimo da noite.
• Telefone, área de interesse e currículo — para avaliar sua candidatura a uma vaga.
• Qual pedido você está fazendo — na página de pedidos sobre seus dados, para saber se você quer acesso, correção ou exclusão, que são coisas diferentes e têm respostas diferentes.

O que acontece com o seu CPF

Hoje nenhuma tela do site pede CPF, e a conversa de reserva de aniversário, no WhatsApp ou no Instagram, também não pede. O CPF era pedido em um único lugar, o antigo formulário de reserva de aniversário, que deu lugar à conversa.

O que tiver sido guardado por aquele formulário continua guardado, com o mesmo tratamento, até você pedir para apagar: fica apenas no nosso banco de dados e não é enviado para a ferramenta de conversa nem para nenhum outro serviço de terceiro. Isso não é promessa de boa vontade: o banco fica fechado ao navegador, só o servidor do site lê, e o pacote de dados que sai para a ferramenta de conversa é montado sem esse campo — o banco se recusa a guardar um pacote de envio que contenha CPF.

Se você mandar seu CPF na conversa, no WhatsApp ou no Instagram, mesmo sem a gente pedir, ele não chega ao nosso banco de dados, mas fica no histórico da conversa. Se quiser que ele saia de lá, peça pela página de pedidos.

Se em algum momento você preferir apagar só o CPF e manter o resto do cadastro, esse é um pedido de correção — e cabe na mesma página de pedidos.

Para onde os seus dados vão

Usamos serviços de terceiros para funcionar. Aqui está quem recebe o quê. Nenhum deles é anunciante, e não vendemos dado seu para ninguém.

• Supabase — é onde fica o banco de dados do Aura Bar, com servidores em São Paulo. Recebe o que você preenche nos formulários do site e guarda o CPF que tiver vindo do antigo formulário de aniversário. A conversa de reserva de aniversário, no WhatsApp ou no Instagram, não chega a ele.
• Respond.io — é a ferramenta de conversa do Aura Bar, hoje ligada ao Instagram, e ao WhatsApp quando o número da casa for conectado a ela. A conversa do Instagram passa por ela, inclusive a reserva de aniversário feita por ali, e é ali que essa conversa fica guardada. Dos formulários do site, recebe seu nome, seu WhatsApp e sua data de nascimento. Das conversas que passam por ela, guarda o histórico — o que você escreve e o que a gente responde. Do nosso banco, nunca recebe seu CPF, nunca recebe currículo e nunca recebe o que você escreve na página de pedidos sobre seus dados.
• Cloudflare — guarda as fotos da galeria e os currículos enviados, e é quem entrega as imagens para o seu navegador.
• Vercel — hospeda o site. É por ela que passa o que você digita nos formulários, no caminho até o banco.
• WhatsApp (Meta) — as mensagens trocadas com a casa pelo WhatsApp passam pela infraestrutura da Meta, como qualquer conversa nesse aplicativo. A reserva de aniversário pode acontecer ali, e nesse caso fica guardada no WhatsApp da casa; quando o atendimento passar pelo Respond.io, fica guardada nele também.
• Instagram (Meta) — as mensagens trocadas com o perfil da casa no Instagram passam pela infraestrutura da Meta. A reserva de aniversário também pode acontecer ali, e nesse caso a conversa passa pela nossa ferramenta de conversa e fica guardada nela.
• Google — a casa registra as reservas de aniversário numa planilha do Google: nome completo, WhatsApp, data de nascimento, data da comemoração, número de convidados, numeração do calçado, se o convite digital foi pedido e as observações da reserva. A foto do convite não vai para a planilha, e o CPF também não. A equipe recebe por e-mail, também pelo Google, um resumo das reservas.

Parte dos seus dados sai do Brasil

O banco de dados fica no Brasil. As outras ferramentas da lista acima são empresas estrangeiras, e os dados enviados a elas podem ser processados em servidores fora do país.

É uma consequência de usar essas ferramentas, não uma escolha separada. Estamos dizendo porque a lei exige e porque você tem direito de saber antes de preencher.

Currículo tem caminho separado

Quem se candidata a uma vaga não vira cliente na nossa base. O que você envia no trabalhe conosco vai para uma tabela própria, separada da base de clientes, e o arquivo do currículo vai para uma área privada do nosso armazenamento.

Essa área não tem endereço público: tentar abrir o arquivo direto pela URL não funciona, mesmo para quem tenha o endereço. Só o servidor do site alcança.

Currículo não entra em disparo de promoção, não vira contato de WhatsApp e não é enviado ao Respond.io.

Por quanto tempo guardamos

Falando com honestidade: hoje não existe rotina que apague dados automaticamente depois de um prazo. Seu cadastro fica guardado enquanto você não pedir a exclusão. O mesmo vale para as conversas: o histórico das conversas pelo WhatsApp e pelo Instagram, inclusive a da reserva de aniversário, não é apagado por nenhuma rotina nossa, e a planilha de reservas de aniversário também não.

O prazo de 180 dias da galeria é outra coisa e não deve ser confundido com isso: ele é quanto tempo o seu navegador continua sendo reconhecido como já cadastrado, não quanto tempo guardamos seus dados.

Quando você pede a exclusão e nós executamos, o cadastro sai do banco de verdade — com as reservas e o histórico de download pendurados nele. O que continua guardado é o registro do próprio pedido, sem os seus dados de contato originais: é a prova de que o pedido foi atendido, e apagá-la significaria apagar a evidência de termos cumprido a lei.

Quem consegue ver seus dados

Dentro do Aura Bar, a equipe que atende vê as conversas — no WhatsApp da casa, no Instagram e na ferramenta de conversa: nome, WhatsApp e o histórico de mensagens, inclusive os dados da reserva de aniversário que você escreveu ali. Não pedimos CPF nessas conversas. A equipe que organiza os aniversários vê também a planilha de reservas.

O banco de dados completo é alcançado apenas pelo servidor do site, com uma credencial que não existe no seu navegador. Nenhuma das tabelas responde a acesso pelo navegador — a tentativa é recusada antes mesmo de qualquer verificação de conteúdo.

O painel onde a equipe edita programação, cardápio e fotos usa uma conexão separada, que não tem permissão para ler a tabela de clientes. Um problema no painel não alcança o seu cadastro.

O que fazemos de fato para proteger

Preferimos listar o que existe a escrever frases genéricas sobre segurança.

• Nenhuma tabela de dados de cliente é acessível pelo navegador. Dois bloqueios independentes, para que uma falha de configuração no futuro não abra a porta sozinha.
• O CPF guardado pelo antigo formulário de aniversário fica só no banco. O pacote que sai para a ferramenta de conversa é montado sem esse campo, e o banco se recusa a guardar um pacote de envio que o contenha.
• As fotos ficam num armazenamento fechado. Existe uma única porta para servi-las, e o acesso em alta resolução exige um link assinado que vale por poucos minutos.
• Currículos ficam numa área privada, fora do alcance da porta que serve as fotos.
• O painel de conteúdo do time usa uma conexão sem permissão de leitura na tabela de clientes.
• O consentimento é gravado com data, hora e versão do texto. O banco recusa registro que diga "aceitou" sem dizer quando e qual texto.

Cookies

Nesta versão, o site usa um cookie e um só: o que reconhece que você já preencheu o cadastro da galeria, para não te pedir os dados de novo a cada álbum. Ele vale por 180 dias, é gravado pelo servidor e não pode ser lido por scripts na página.

Não usamos cookie de publicidade nem de rede social. Se isso mudar, esta política muda junto e ganha uma versão nova — e é por isso que ela é versionada.

Idade

O Aura Bar é um estabelecimento para maiores de 18 anos, e os formulários do site e a reserva de aniversário são para maiores de 18 anos.

Sendo transparente sobre o limite: o site não faz verificação de idade — ele confia no que você preenche. Se identificarmos cadastro de menor de idade, apagamos. Se você é responsável por alguém que se cadastrou, peça a exclusão pela página de pedidos e faremos.

Seus direitos e como exercer

A lei brasileira de proteção de dados (LGPD, art. 18) dá a você o direito de saber o que temos sobre você, corrigir o que estiver errado, pedir uma cópia, apagar tudo e voltar atrás na autorização que você deu.

Todos passam pelo mesmo lugar: /excluir-meus-dados. Ali você diz o que quer e deixa um e-mail para contato.

• Acesso — saber quais dados seus estão guardados.
• Correção — arrumar dado errado ou desatualizado.
• Portabilidade — receber uma cópia dos seus dados.
• Exclusão — apagar seu cadastro.
• Revogação do consentimento — cancelar a autorização que você deu, sem apagar necessariamente o resto.

O que acontece quando você faz um pedido

Vale a pena dizer isso sem enfeite, porque muita política promete o que não cumpre: o seu pedido não é executado no instante em que você aperta enviar.

O que acontece na hora é o registro: o pedido entra no sistema com data e hora, no estado "recebido", e a equipe é avisada.

Depois, confirmamos que o pedido é mesmo seu. Apagar dado é irreversível, e atender um pedido de exclusão sem checar quem pediu seria abrir a porta para alguém apagar o cadastro de outra pessoa. Essa verificação costuma ser uma confirmação pelo e-mail ou pelo WhatsApp do cadastro.

Verificada a identidade, executamos: os dados saem do banco, saem da ferramenta de conversa, saem das conversas no WhatsApp da casa, saem da planilha de reservas de aniversário e, quando for o caso, saem do armazenamento de arquivos.

O relógio do prazo legal começa a correr no momento do registro do pedido, não no momento em que alguém do time abre a mensagem. A lei prevê 15 dias para o pedido de acesso aos dados; nos outros, agimos o mais rápido possível.

Mudanças nesta política

Esta é a versão lgpd-v4. Se mudar o que coletamos, para onde enviamos, por quanto tempo guardamos ou o que você autoriza ao marcar a caixa, publicamos uma versão nova com identificação diferente.

Os consentimentos já registrados continuam apontando para a versão que estava no ar quando você aceitou. Isso é de propósito: ninguém deve descobrir que autorizou uma coisa nova porque um texto mudou sozinho.