# LGPD no restaurante e delivery: como usar dados de clientes

LGPD no restaurante: quais dados de clientes você pode guardar, com que base legal, e como montar uma base para WhatsApp e remarketing dentro da lei.

Autor: Sebastião Lustosa (Sócio-fundador da Bunker Foods) · Publicado em 2026-10-14 · Atualizado em 2026-10-14
URL: https://restaurantelucrativo.adsbunker.com/conteudos/lgpd-restaurante/

Restaurante pode, sim, guardar nome, telefone e histórico de pedidos para fazer marketing, desde que respeite a Lei Geral de Proteção de Dados. Isso significa três coisas: ter uma base legal para cada uso, avisar o cliente com clareza para que o dado será usado e permitir que ele saia da lista quando quiser. Para uma base de clientes voltada a WhatsApp e remarketing, o caminho mais seguro é pedir autorização explícita para comunicações de marketing no momento da coleta e guardar o registro disso.

O primeiro passo é separar atendimento, obrigação fiscal e divulgação. O cliente que informa o endereço para receber uma marmita não está, por esse ato, aceitando uma campanha semanal. Esse cuidado vale também para dados recebidos por aplicativos de terceiros.

## O que a LGPD considera dado pessoal no restaurante

A [Lei nº 13.709/2018](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) define dado pessoal como informação relacionada a pessoa natural identificada ou identificável. No dia a dia de um restaurante, isso inclui:

- Nome, telefone e e-mail.
- Endereço de entrega.
- CPF na nota.
- Histórico de pedidos e preferências.
- Data de aniversário.
- Restrições alimentares e alergias.

Alergia e restrição por motivo de saúde são dados sensíveis. Além de limitar o acesso e a finalidade, é necessário enquadrar seu tratamento no artigo 11: consentimento específico e destacado ou outra hipótese ali prevista, quando aplicável. O legítimo interesse do artigo 7º não serve como autorização genérica para dados sensíveis. Não transforme uma informação sobre alergia em segmento de propaganda.

## Os princípios que mais pesam para quem vende comida

O artigo 6º da lei lista princípios. Três deles resolvem a maior parte das dúvidas:

- **Finalidade.** Você coleta o dado para um propósito informado. Endereço para entrega é uma finalidade. Mandar promoção é outra.
- **Necessidade.** Peça só o que vai usar. Se você não manda nada no aniversário, não precisa da data de nascimento.
- **Transparência.** O cliente precisa saber, de forma clara, o que você faz com os dados dele.

## Bases legais: qual usar para cada coisa

O artigo 7º lista as hipóteses em que o tratamento é permitido. Para restaurante, três aparecem mais:

| Uso do dado | Base legal mais comum |
|---|---|
| Entregar o pedido, emitir nota, cobrar | Execução de contrato e obrigação legal |
| Mandar ofertas no WhatsApp ou e-mail | Consentimento (o caminho mais seguro) |
| Pesquisa de satisfação sobre um pedido feito | Base definida após avaliar finalidade, necessidade e direitos do cliente |

O legítimo interesse existe na lei, mas exige avaliação concreta, transparência e proteção dos direitos do titular, conforme os artigos 7º e 10. Não basta escrever essa expressão na planilha. Para ofertas recorrentes por WhatsApp, adote uma adesão explícita e documentada. A base legal da LGPD e as permissões exigidas pela plataforma precisam ser atendidas em conjunto.

## Os direitos do cliente

O artigo 18 garante ao titular, entre outros, o direito de confirmar se você tem dados dele, acessar, corrigir, pedir eliminação de dados tratados com consentimento e revogar o consentimento. Eliminação não significa apagar indiscriminadamente tudo: o artigo 16 prevê exceções, como a guarda necessária ao cumprimento de obrigação legal. Explique quais registros precisam continuar armazenados, por qual motivo e com acesso restrito.

A [Resolução nº 2/2022 da ANPD](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd/resolucao-cd-anpd-no-2-de-27-de-janeiro-de-2022) permite simplificações para agentes de pequeno porte elegíveis. Há exclusões por tratamento de alto risco e por limites de receita, inclusive do grupo econômico. A dispensa de encarregado não elimina a obrigação de manter um canal para o cliente. Também não dispensa bases legais, segurança nem respeito aos direitos.

Na prática, o restaurante precisa saber responder duas mensagens: "que dados vocês têm de mim?" e "me tira da lista". Se ninguém na equipe sabe o que fazer com elas, o processo não existe.

## Como montar uma base de clientes para remarketing dentro da lei

Este é o roteiro que recomendo para uma base de WhatsApp e anúncios.

1. **Escolha os pontos de coleta.** Canal próprio de pedidos, WhatsApp, salão (QR code na mesa), programa de fidelidade. Pedidos de marketplace têm regras próprias da plataforma: leia o contrato antes de usar esses dados para qualquer coisa além da entrega.
2. **Peça autorização separada para marketing.** Uma caixa não marcada, ou uma pergunta direta no WhatsApp: "Quer receber nossas ofertas por aqui? Responda SIM." Não esconda isso dentro do aceite do pedido.
3. **Explique em uma frase o que vai acontecer.** Exemplo: "Vamos mandar até duas ofertas por semana no WhatsApp. Para sair, responda SAIR."
4. **Registre o consentimento.** Data, canal e texto que o cliente viu. Uma coluna na planilha ou no CRM resolve.
5. **Colete o mínimo.** Nome, telefone e, se for usar, bairro e data de aniversário.
6. **Ofereça saída fácil em toda mensagem.** E cumpra rápido. A [política do WhatsApp Business](https://business.whatsapp.com/policy) também exige permissão para contatar a pessoa e respeito a pedidos de bloqueio ou saída.
7. **Proteja o acesso.** Base de clientes não fica em planilha compartilhada com todo mundo. Dê acesso só a quem precisa.
8. **Atualize as permissões.** Respeite o alcance do pedido: sair das ofertas interrompe esse uso. Se a pessoa revogar também o uso em públicos de anúncios, remova-a desses públicos. Registros fiscais não viram lista promocional por precisarem ser conservados.

Para organizar a base no dia a dia, veja [base de clientes e CRM para restaurante](https://restaurantelucrativo.adsbunker.com/conteudos/base-de-clientes-crm/).

**Exemplo hipotético:** uma marmitaria pergunta durante o atendimento: "Quer receber o cardápio toda segunda pelo WhatsApp? Responda SIM. Para sair, mande SAIR." Registra a resposta, a data e o texto da autorização. A adesão não inclui automaticamente anúncios na Meta. A loja define como meta interna interromper ofertas no mesmo dia do pedido de saída; isso não é um prazo legal universal para todos os direitos. Mantém separados os registros de venda que precisam ser guardados.
## Lista de clientes em anúncios da Meta

A Meta permite criar públicos a partir de listas conforme seus [termos específicos](https://www.facebook.com/legal/terms/customaudience). Informações de contato são convertidas em hashes para correspondência. Hash não é sinônimo de criptografia nem garantia de anonimização: o objetivo é justamente relacionar registros a usuários. A origem da lista e a base legal continuam sob responsabilidade do anunciante.

Um aviso genérico de marketing, sozinho, não prova todos os direitos e permissões exigidos. Informe o compartilhamento e a finalidade; confira a base legal e os termos. A Meta proíbe critérios baseados em informações sensíveis, como saúde, e exige remover pessoas que desautorizarem esse uso. Não envie CPF nem dados de cartão. Como planejar a campanha está em [remarketing para restaurante](https://restaurantelucrativo.adsbunker.com/conteudos/remarketing-restaurante/).

## O que pode dar errado

A lei prevê sanções administrativas no artigo 52, após procedimento com direito de defesa. A multa simples pode alcançar 2% do faturamento no Brasil do último exercício, excluídos os tributos, da pessoa jurídica, grupo ou conglomerado, limitada a R$ 50 milhões por infração. Há também advertência, bloqueio e outras medidas. As políticas das plataformas preveem restrições de acesso em caso de violação; não há fundamento para afirmar qual consequência será a mais frequente no restaurante.

Práticas que devem ser revistas:

- Adicionar todo mundo que pediu a uma lista de transmissão sem perguntar.
- Copiar contatos de pedidos de marketplace para o WhatsApp da loja.
- Ignorar pedido de saída.
- Deixar a planilha de clientes aberta para toda a equipe.
- Comprar lista de contatos.

## Checklist rápido

- Sei quais dados coleto e por quê.
- Peço autorização separada para marketing.
- Registro data e canal do consentimento.
- Toda mensagem tem opção de sair.
- Há responsável para atender direitos e interromper campanhas após saída.
- Acesso à base é restrito.
- Sei responder quando o cliente pede os dados dele.
- Tenho uma política de privacidade publicada no canal próprio.

## Quem acessa os dados e o que fazer em um incidente

Defina um responsável pelo cadastro e pelo atendimento ao titular. Use acessos individuais quando o sistema permitir, bloqueio nos aparelhos e remoção do acesso de quem saiu da equipe. O entregador precisa dos dados necessários à entrega, não de toda a base. Confira também contratos, exportação e exclusão no fornecedor do sistema: contratar uma ferramenta não transfere automaticamente todas as responsabilidades.

Se houver envio de uma planilha à pessoa errada ou perda de aparelho com acesso aberto, contenha o acesso, registre o ocorrido e avalie os dados afetados. O artigo 48 trata da comunicação de incidentes que possam acarretar risco ou dano relevante. A avaliação e os prazos devem seguir a regulamentação aplicável; não espere a próxima campanha para investigar. Essas medidas dão execução prática à obrigação de segurança do artigo 46.

## Perguntas frequentes

### Restaurante pequeno precisa cumprir a LGPD?

Sim. A LGPD vale para qualquer empresa que trata dados pessoais, sem exceção por tamanho. A ANPD tem regras simplificadas para agentes de pequeno porte, mas os princípios e os direitos do cliente continuam valendo.

### Posso mandar promoção no WhatsApp para quem já pediu no meu restaurante?

Pode, desde que tenha base legal e respeite as regras do WhatsApp. O caminho mais seguro é pedir autorização clara para receber ofertas e oferecer um jeito simples de sair da lista.

### Posso usar os dados dos pedidos do iFood para fazer marketing?

Leia o contrato e as políticas do iFood antes. Os dados do pedido existem para entregar aquele pedido. Usar para outra finalidade sem base legal e sem respeitar as regras da plataforma é risco.

### Posso subir minha lista de clientes no Meta para anunciar?

A Meta permite públicos personalizados a partir de lista de clientes, mas exige que você tenha o direito de usar esses dados. Na prática, isso significa ter a base coletada de forma transparente e com finalidade de marketing informada.

## Fontes consultadas

- [Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm)
- [ANPD: Resolução nº 2/2022, agentes de pequeno porte](https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd/resolucao-cd-anpd-no-2-de-27-de-janeiro-de-2022)
- [Meta: Termos dos Públicos Personalizados da Lista de Clientes](https://www.facebook.com/legal/terms/customaudience)
- [WhatsApp Business: política comercial](https://business.whatsapp.com/policy)

---

Bunker Foods · Programa de Aceleração para restaurantes: https://restaurantelucrativo.adsbunker.com/