Restaurantes em Portugal: RGPD, MB WAY e Livro de Reclamações

Não em todos os casos. O RGPD (artigo 37.º) e a Lei 58/2019 exigem designação obrigatória de DPO quando: (a) o tratamento seja efetuado por autoridade pública ou organismo público (não aplicável); (b) as atividades principais envolvam operações que exijam controlo regular e sistemático de titulares de dados em larga escala; (c) as atividades principais envolvam tratamento em larga escala de categorias especiais de dados ou dados de infrações. Um restaurante de bairro com poucas centenas de clientes de fidelização não está tipicamente abrangido pela obrigação. Uma cadeia com dezenas de milhares de aderentes ao clube de fidelização, ou um restaurante que faça videovigilância intensiva no interior e exterior, ou que trate categorias especiais de dados (por exemplo alergias e restrições alimentares detalhadas ligadas a saúde), pode entrar no âmbito da obrigação. Independentemente da obrigatoriedade legal, designar internamente um responsável pela proteção de dados (mesmo sem título formal de DPO) é boa prática — o titular responde à CNPD e aos clientes por qualquer questão de proteção de dados e coordena a resposta a pedidos de exercício de direitos.

A restauração em Portugal continental tem regime de IVA misto por natureza da prestação: (a) refeições no restaurante (comida servida à mesa em restaurante ou take-away) beneficiam geralmente da taxa intermédia de 13% desde 2016, salvo exceções; (b) bebidas alcoólicas servidas em restauração aplicam a taxa padrão de 23%; (c) refeições em máquinas automáticas, catering para empresas e outras modalidades podem ter tratamentos diferenciados. Os Açores aplicam taxas reduzidas equivalentes (por exemplo intermédia 9% em vez de 13%) e a Madeira também (intermédia 12%). O código do IVA e as circulares AT são a referência formal. Restaurantes que combinem take-away, delivery próprio, delivery via agregador (Uber Eats/Glovo/Bolt Food), catering e serviço à mesa precisam de configurar corretamente cada linha de faturação no POS para aplicar a taxa correta. A responsabilidade é do restaurante enquanto sujeito passivo — a plataforma de delivery agregado é apenas intermediária e não substitui a obrigação do restaurante de faturar corretamente o IVA.

Em princípio não, sem consentimento específico prévio para marketing. O RGPD e a Lei 58/2019 distinguem entre o consentimento contratual (implícito quando o cliente faz uma reserva, uma vez que é necessário para a execução do contrato) e o consentimento para marketing (que deve ser separado, explícito, específico e revogável). A base jurídica alternativa "interesse legítimo" pode em teoria justificar comunicações de marketing a clientes existentes sobre produtos e serviços similares (soft opt-in), mas exige ponderação caso a caso, informação clara ao cliente, e sempre a possibilidade fácil de oposição (unsubscribe num clique). Enviar campanhas WhatsApp com templates marketing (categoria "marketing" na tarifação Meta) a antigos clientes sem consentimento marketing explícito é uma prática de risco elevado, com sanções CNPD documentadas nos últimos anos. A boa prática é obter o consentimento marketing no momento da criação do perfil do cliente (formulário de reserva, cadastro no clube de fidelização) e revalidar periodicamente. O consentimento para newsletter por email é distinto do consentimento para WhatsApp — cada canal exige o seu consentimento próprio.

Diretamente MB WAY não tem API pública universal para bots. A solução consiste em usar uma gateway de pagamento portuguesa que suporte MB WAY: Easypay, IfThenPay, Eupago, HiPay ou SIBS Payment Gateway. O fluxo típico é: o cliente confirma a encomenda no bot WhatsApp; o bot chama a API da gateway que gera uma referência MB WAY ou um link/QR-code MB WAY; o bot envia esta referência ao cliente por mensagem WhatsApp; o cliente abre a app MB WAY, insere ou lê o código, confirma o pagamento; a gateway envia um webhook ao bot confirmando o pagamento em segundos; o bot confirma ao cliente e ao POS do restaurante que a encomenda está paga e libera a preparação. As gateway portuguesas cobram tipicamente entre 0,5% e 2% por transação, com taxas fixas em alguns casos, e mensalidades variáveis. Para ter esta integração funcional, o restaurante precisa: (a) contratar a gateway; (b) que a plataforma de automação WhatsApp escolhida suporte a gateway (nativamente ou via webhook custom); (c) configurar corretamente as chaves API e os endpoints de callback. Uma plataforma que suporte apenas Stripe / PayPal não substitui esta integração — MB WAY é essencial no mercado português.

A decisão de adequação da Comissão Europeia de 10 de julho de 2023 estabeleceu o EU-US Data Privacy Framework (DPF), que substituiu o Privacy Shield anulado pelo Tribunal de Justiça da União Europeia em 2020 (Schrems II). O DPF permite transferências de dados pessoais da União Europeia para empresas americanas certificadas pelo Departamento do Comércio dos EUA que aderiram voluntariamente ao Framework, com garantias reforçadas sobre acesso governamental aos dados e mecanismos de recurso para cidadãos europeus (Data Protection Review Court). Muitas plataformas de automação WhatsApp com sede nos EUA (Meta / Twilio / MessageBird até certa medida) constam da lista de aderentes ao DPF. Contudo, permanece incerteza jurídica: uma nova ação Schrems III junto do TJUE poderá vir a testar a estabilidade do Framework. A prática prudente é: (a) verificar se o fornecedor consta da lista pública do Departamento do Comércio dos EUA; (b) manter no DPA cláusulas contratuais tipo (SCC) como salvaguarda subsidiária; (c) preferir, quando possível, fornecedores europeus ou alojamento europeu para minimizar exposição a transferências transatlânticas. Para restaurantes portugueses, plataformas alojadas na UE (Callbell em Itália, algumas ofertas de BossBot com região UE, alguns BSP alemães/holandeses) representam frequentemente a opção regulatória mais simples.