Política de Privacidade

Última atualização: 19 de outubro de 2026

1. Controlador dos Dados

O controlador dos seus dados pessoais, nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018), é o MixLab, responsável pelas decisões sobre o tratamento descrito nesta política. Para exercer seus direitos ou tirar dúvidas, entre em contato pelo e-mail contato@mixlab.bar.

2. Dados Coletados

• Cadastro: e-mail e senha (armazenada com hash bcrypt)
• Perfil do bar: nome do estabelecimento, perfil operacional e história do bar
• Conteúdo: receitas salvas, ingredientes do estoque, histórico de conversas
• Importação da carta: quando você usa "Importar minha carta", as fotos, o PDF ou o texto da carta do seu bar (nomes dos drinks, ingredientes e preços). As fotos e o PDF não ficam guardados (ver seção 5)
• Pagamento: dados de cartão tratados diretamente pelo Stripe (não armazenamos dados financeiros)
• Analytics: eventos de uso do produto via PostHog, só com consentimento, vinculados a um código interno da conta e nunca ao e-mail (ver seções 3 e 4)
• Técnicos: endereço IP (para limitação de requisições, logs de segurança e registro do aceite dos termos)

3. Finalidade e Base Legal

• Prestação do serviço contratado — execução de contrato
• Envio de e-mails transacionais (verificação, recuperação de senha) — legítimo interesse
• Analytics de produto (PostHog), tanto os eventos do navegador quanto os enviados pelo servidor — consentimento. Você escolhe no banner de cookies e pode mudar a qualquer momento em Configurações → Permitir cookies analíticos. Sem consentimento, nenhum evento seu é enviado ao PostHog. A escolha fica guardada no navegador e, se você estiver logado, também na sua conta.
• Prevenção de fraudes e segurança — legítimo interesse

4. Operadores e Compartilhamento de Dados

Para prestar o serviço, o MixLab usa os fornecedores abaixo, que tratam dados em nosso nome (operadores, nos termos da LGPD). Cada um recebe apenas os dados necessários para a finalidade indicada.

• OpenAI — geração das receitas e respostas do chat com IA. Recebe o texto das suas mensagens, o histórico recente da conversa, a lista de ingredientes do estoque e o contexto do bar (perfil e história). Também recebe as mensagens da demonstração pública, sem cadastro. Na importação da carta, recebe as fotos ou o texto das páginas da carta, para ler os drinks, os ingredientes e os preços; antes do envio, o navegador redesenha cada foto, o que tira os dados de localização (GPS) e da câmera. Pela política da OpenAI para a API, esse conteúdo não é usado para treinar modelos e pode ficar guardado por até 30 dias para monitoramento de abuso.
• Pinecone — busca vetorial na base de receitas de referência e de combinações de sabores. Recebe representações numéricas (vetores) geradas a partir das suas mensagens; a base guardada no Pinecone contém só receitas e ingredientes de referência, não dados da sua conta.
• MongoDB Atlas — banco de dados da aplicação. Armazena e-mail, senha (em hash bcrypt), plano, perfil e história do bar, receitas salvas, estoque com preços, histórico de conversas, avaliações de drinks, o registro do aceite dos termos (data e IP) e contadores de uso da demonstração (com IP transformado em hash).
• Render — hospedagem da API (servidor). Processa todas as requisições feitas pelo app, incluindo o endereço IP de quem as faz.
• Vercel — hospedagem do site e do app. Recebe as requisições às páginas, incluindo o endereço IP, e pode encaminhar as chamadas do app para a API.
• Resend — envio de e-mails: verificação de conta, recuperação de senha, boas-vindas, mensagens sobre o uso do produto (com link de descadastro) e convites de equipe do plano Rede. Recebe o endereço de e-mail do destinatário e o conteúdo da mensagem.
• PostHog — análise de uso do produto. No navegador, só funciona depois que você aceita os cookies analíticos; nesse caso recebe eventos de uso e o plano da conta, vinculados a um código interno da conta (o e-mail não é enviado). O servidor também envia eventos de conta e de cobrança (por exemplo, primeiro drink gerado, checkout iniciado, assinatura concluída ou cancelada), vinculados ao mesmo código interno e só para contas que aceitaram os cookies analíticos.
• Sentry — monitoramento de erros do app e da API. Recebe só a mensagem do erro, o caminho no código onde ele aconteceu, a página ou rota e o código interno da conta. Não recebe e-mail, conteúdo enviado (como fotos e senhas), cookies, cabeçalhos de autenticação nem endereços com parâmetros; e-mails, CPF/CNPJ e chaves que aparecerem numa mensagem de erro são apagados antes do envio.
• Stripe — pagamentos e assinaturas. Recebe seu e-mail e os dados de pagamento que você digita na página de checkout do Stripe; o MixLab não recebe nem armazena o número do cartão.
• Asaas — pagamentos com Pix, quando você escolhe pagar com Pix. Recebe seu e-mail, o nome do bar e o CPF ou CNPJ de quem paga (exigido para o Pix); o MixLab guarda só o identificador do cliente no Asaas, não o CPF ou CNPJ. Empresa brasileira, com dados tratados no Brasil.
• Cloudflare — verificação anti-robô (Turnstile) na demonstração pública sem cadastro. Recebe sinais do navegador e o endereço IP de quem usa a demonstração.
• Google Fonts — as páginas carregam fontes dos servidores do Google, que recebem o endereço IP e os dados do navegador ao baixá-las.

Não vendemos seus dados a terceiros.

4.1 Transferência Internacional de Dados

Os fornecedores listados acima, exceto o Asaas, são empresas sediadas nos Estados Unidos. Por isso, os dados tratados por eles podem ser armazenados ou processados fora do Brasil. O projeto do PostHog usado pelo MixLab está hospedado na nuvem dos Estados Unidos.

5. Retenção de Dados

Seus dados são mantidos enquanto sua conta estiver ativa. Ao excluir a conta (em Configurações), todos os dados pessoais são removidos em até 30 dias, exceto registros fiscais obrigatórios por lei. Se houver assinatura ativa, ela é cancelada no Stripe no momento da exclusão; os registros de pagamento (cliente, faturas e recibos) continuam guardados pelo Stripe pelo prazo exigido pela legislação fiscal.

Na importação da carta, as fotos e o PDF existem só durante a leitura: não são gravados no banco, nos logs nem no monitoramento de erros. O texto lido da carta fica num rascunho por até 7 dias, para você revisar antes de salvar; depois disso, o rascunho é apagado sozinho. Os drinks que você salvar viram receitas da sua conta, como as demais.

6. Seus Direitos (LGPD, Art. 18)

• Acesso e correção: disponíveis diretamente em Configurações
• Eliminação: exclua sua conta em Configurações → Excluir conta
• Portabilidade: exporte suas receitas em PDF (Cardápio → Exportar Fichas Técnicas)
• Revogação de consentimento de analytics: desmarque Configurações → Permitir cookies analíticos (sem login, limpe os dados do site no navegador) ou nos contate
• Oposição ao tratamento: entre em contato em contato@mixlab.bar

7. Segurança

Senhas são armazenadas com hash bcrypt. Sessões usam cookies httpOnly, Secure e SameSite=Lax. Comunicações são protegidas por HTTPS.

8. Cookies

Usamos um cookie de sessão essencial (mixlab_token) necessário para o funcionamento do serviço. Com seu consentimento, também usamos cookies analíticos via PostHog para entender como o produto é utilizado.

9. Contato

Para exercer seus direitos ou enviar solicitações relacionadas a dados pessoais, escreva para contato@mixlab.bar.