URL: https://bopra.com.br/privacidade.html
Atualizado em: 2026-10-28

Documento legal

# Política de Privacidade

Como o Bopra coleta, usa, guarda e protege dados pessoais no site, no portal e nos aplicativos, de acordo com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, LGPD).

Versão de 28/10/2026

## 1. Quem somos e como falar conosco

O Bopra é um software brasileiro de gestão de boas práticas e segurança alimentar para nutricionistas responsáveis técnicas (RT), consultorias e serviços de alimentação. Nesta política, “Bopra”, “nós” e “nosso” se referem ao Bopra como fornecedor do serviço; “organização cliente” é a empresa ou consultoria que contrata o Bopra; “usuário” é cada pessoa com login no portal ou nos aplicativos.

Para dúvidas sobre esta política, pedidos sobre seus dados ou contato com o encarregado pelo tratamento de dados pessoais, escreva para [contato@bopra.com.br](mailto:contato@bopra.com.br).

## 2. Quando o Bopra é controlador e quando é operador

A LGPD distingue quem decide sobre o tratamento (controlador) de quem trata dados em nome de outro (operador). No Bopra, os dois papéis existem:

- **Bopra como controlador:** dados das contas de usuário (para autenticar e dar acesso), dados da organização cliente para contratação e cobrança, mensagens enviadas ao nosso contato, e registros técnicos de acesso e segurança.
- **Bopra como operador:** os registros operacionais que a equipe da organização cliente lança no sistema (visitas técnicas, checklists, temperaturas, lotes e validades, não conformidades, ações corretivas, fichas técnicas, documentos, POPs, fotos e anexos). Esses registros pertencem à organização cliente, que é a controladora deles e decide o que registrar, quem acessa e por quanto tempo guardar. Tratamos esses dados apenas para prestar o serviço contratado e conforme as instruções da organização cliente.

Se você é membro da equipe de uma organização cliente (por exemplo, cozinha, RT ou cliente consultivo) e quer exercer direitos sobre os registros operacionais, o pedido deve ser feito primeiro à sua organização. Se nos procurar diretamente, encaminharemos o pedido a ela e ajudaremos no que for preciso.

## 3. Dados que tratamos

### Conta de usuário

Nome, e-mail, senha, perfil de acesso (por exemplo, administrador, responsável técnica, cozinha ou cliente consultivo) e as unidades e módulos liberados para a pessoa. As contas são criadas pela equipe Bopra ou pelo administrador da organização; não há cadastro público. A senha nunca é guardada em texto: o serviço de autenticação guarda apenas um hash dela.

### Organização cliente

Nome da organização, unidades atendidas, plano contratado, situação da assinatura, limites de uso e dados de contato de quem contrata.

### Registros operacionais da cozinha

Tudo o que a equipe registra no dia a dia: visitas e respostas de checklist, leituras de temperatura por equipamento, produtos, lotes, datas de preparo e validade, baixas e descartes com motivo, não conformidades e ações corretivas, fichas técnicas e custos, agenda, documentos e POPs em PDF. Cada registro guarda quem fez, quando e em qual unidade, numa trilha de auditoria.

### Fotos e anexos

Evidências em foto (JPEG) anexadas a visitas e não conformidades e documentos em PDF. Fotos de cozinha podem mostrar pessoas; recomendamos registrar apenas o necessário para a evidência.

### Pagamento

O pagamento da assinatura é feito na página de pagamento hospedada pela Stripe. **O Bopra não recebe nem guarda o número do cartão.** Recebemos da Stripe apenas o necessário para administrar a assinatura: identificadores do cliente e da assinatura, plano, situação do pagamento, período vigente e faturas.

### Contato pelo site

O formulário “Solicitar acesso” do site não envia dados ao nosso servidor: ele abre o seu programa de e-mail com uma mensagem pronta para [contato@bopra.com.br](mailto:contato@bopra.com.br). Tratamos o que você nos enviar por e-mail (nome, e-mail, empresa, número de unidades e plano de interesse) para responder e preparar a avaliação.

### Dados técnicos e de acesso

Endereço IP, data e hora, rota acessada, resultado da requisição e identificadores de sessão, registrados para segurança, prevenção de abuso e cumprimento do Marco Civil da Internet. Senhas, tokens e conteúdo de documentos são retirados desses registros.

### Aplicativos

Os aplicativos Android e iOS, quando disponíveis, guardam no aparelho uma cópia dos registros da conta para funcionar sem internet e enviam as alterações quando a conexão volta. Eles pedem acesso à câmera apenas para fotografar evidências.

## 4. Para que usamos os dados e com qual base legal

Finalidades do tratamento e bases legais da LGPD (art. 7º)

| Finalidade | Dados | Base legal |
| --- | --- | --- |
| Criar e manter contas, autenticar e controlar o acesso por perfil e unidade | Conta de usuário, organização | Execução de contrato (art. 7º, V) |
| Prestar o serviço: guardar, exibir, sincronizar e exportar os registros da organização | Registros operacionais, fotos e anexos | Execução de contrato com a organização cliente, que é a controladora desses dados |
| Cobrar a assinatura e emitir faturas | Organização, dados de pagamento recebidos da Stripe | Execução de contrato (art. 7º, V) e cumprimento de obrigação legal fiscal (art. 7º, II) |
| Enviar e-mails do serviço, como recuperação de senha e avisos da conta | Nome e e-mail | Execução de contrato (art. 7º, V) |
| Guardar registros de acesso à aplicação | Dados técnicos e de acesso | Cumprimento de obrigação legal (art. 7º, II; Marco Civil da Internet, art. 15) |
| Proteger contas, detectar fraude, abuso e incidentes | Dados técnicos, trilha de auditoria | Legítimo interesse (art. 7º, IX) |
| Responder contatos e solicitações de avaliação | O que você nos enviar por e-mail | Procedimentos preliminares a contrato (art. 7º, V) e legítimo interesse (art. 7º, IX) |
| Atender pedidos de autoridades e defender direitos | Os dados necessários a cada caso | Obrigação legal (art. 7º, II) e exercício regular de direitos (art. 7º, VI) |

Não vendemos dados pessoais, não os usamos para publicidade e não tomamos decisões automatizadas que afetem seus interesses.

## 5. Com quem compartilhamos

Compartilhamos dados apenas com prestadores necessários para operar o serviço, que os tratam em nosso nome e sob contrato:

- **Stripe**, para processar o pagamento da assinatura. A Stripe recebe diretamente os dados do cartão e os trata conforme a própria política de privacidade.
- **Provedor de e-mail transacional**, para entregar e-mails do serviço, como recuperação de senha.
- **Provedores de hospedagem e infraestrutura** (servidor virtual, banco de dados, autenticação e armazenamento de arquivos), onde o sistema e os dados ficam guardados.

Dentro de cada organização cliente, os registros ficam visíveis para os membros conforme o perfil e as unidades liberadas pelo administrador. Também podemos fornecer dados quando a lei ou uma ordem de autoridade competente exigir.

Alguns prestadores, como a Stripe, podem tratar dados fora do Brasil. Nesses casos, a transferência internacional segue o art. 33 da LGPD, com garantias contratuais de proteção compatíveis com a lei brasileira.

## 6. Por quanto tempo guardamos

- **Registros operacionais, fotos e anexos:** pertencem à organização cliente e ficam guardados enquanto a organização existir no Bopra, inclusive depois do fim da avaliação ou do cancelamento, para consulta e exportação. A organização pode pedir a exclusão a qualquer momento. Prazos de guarda exigidos pela vigilância sanitária ou por outras normas são definidos pela organização e pela sua responsável técnica.
- **Contas de usuário:** enquanto a pessoa for membro ativo de uma organização. Membros desativados deixam de ter acesso; o nome continua associado aos registros que fez, porque a autoria faz parte da trilha de auditoria da organização.
- **Dados de cobrança:** pelo prazo exigido pela legislação fiscal e tributária.
- **Registros de acesso à aplicação:** por 6 meses, como exige o art. 15 do Marco Civil da Internet, ou por mais tempo se houver pedido de autoridade.
- **Cópias de segurança:** fazemos backups diários, guardados por 14 dias. Dados excluídos da base em produção deixam de existir nos backups quando esse ciclo se completa.

## 7. Cookies e armazenamento no navegador

**Portal:** usa apenas cookies essenciais, sem os quais não é possível entrar com segurança. São cookies de sessão do próprio Bopra, marcados como seguros, restritos ao domínio do portal e, os de sessão, inacessíveis a scripts:

- __Host-sf_access: mantém a sessão aberta; expira em cerca de uma hora.
- __Host-sf_refresh: renova a sessão sem pedir a senha de novo; dura até 30 dias e é revogado ao sair ou ao trocar a senha.
- __Host-sf_csrf: protege contra envio de formulários forjados por outros sites.

O espaço demonstrativo do portal guarda os dados fictícios apenas no armazenamento local do seu navegador.

**Site:** não usa cookies, nem ferramentas de análise, publicidade ou rastreamento de terceiros. O navegador guarda localmente apenas preferências de exibição. As fontes tipográficas são carregadas do Google Fonts, o que faz o seu navegador se conectar aos servidores do Google para baixá-las.

## 8. Como protegemos os dados

- Conexão sempre cifrada (HTTPS) entre o seu navegador ou aplicativo e o servidor.
- Senhas guardadas apenas como hash, recuperação de senha com link de uso único e validade curta.
- Isolamento por organização: cada consulta e alteração é autorizada no servidor pela organização da sessão, e o banco aplica políticas de acesso por organização.
- Acesso por perfil, unidade e módulo, definido pelo administrador da organização.
- Sessões revogáveis: sair encerra a sessão, e a troca de senha invalida as sessões anteriores.
- Proteção contra envio forjado de formulários (CSRF), limite de tentativas e trilha de auditoria com autoria e horário de cada alteração.
- Arquivos em armazenamento privado, validados no envio e liberados apenas a quem tem acesso ao registro.

Nenhum sistema é totalmente imune a incidentes. Se ocorrer um incidente de segurança que possa causar risco ou dano relevante, comunicaremos a Autoridade Nacional de Proteção de Dados (ANPD) e as pessoas e organizações afetadas, como prevê o art. 48 da LGPD.

## 9. Seus direitos e como exercê-los

Pelo art. 18 da LGPD, você pode pedir:

- confirmação de que tratamos seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
- portabilidade dos dados a outro fornecedor;
- eliminação dos dados tratados com base no seu consentimento, quando for o caso;
- informação sobre com quem compartilhamos seus dados;
- informação sobre a possibilidade de não dar consentimento e as consequências, e revogação do consentimento, quando ele for a base do tratamento;
- oposição a tratamento feito com base em outra hipótese legal, se houver descumprimento da lei.

Para exercer qualquer desses direitos, escreva para [contato@bopra.com.br](mailto:contato@bopra.com.br) a partir do e-mail cadastrado. Podemos pedir uma confirmação de identidade antes de atender. Respondemos em até 15 dias. Alguns dados podem ser mantidos quando a lei exigir, como os de cobrança e os registros de acesso.

A organização cliente pode exportar os próprios registros em CSV pelo portal a qualquer momento. Se você não ficar satisfeito com a nossa resposta, também pode apresentar reclamação à ANPD.

## 10. Alterações desta política

Podemos atualizar esta política quando o serviço ou a legislação mudarem. A data da versão fica no topo da página. Mudanças relevantes serão avisadas aos administradores das organizações clientes por e-mail ou no portal antes de entrarem em vigor.

Veja também os [Termos de Uso](https://bopra.com.br/termos.html).