1. Quem é o responsável pelo tratamento
A Pontualio é a responsável pelo tratamento dos dados descritos nesta política (identificação nos termos e condições). Contacto para assuntos de privacidade: info@pontualio.com.
Não designámos encarregado de proteção de dados por não se verificarem os requisitos do artigo 37.º do RGPD. Reavaliaremos esta decisão sempre que a dimensão ou a natureza dos tratamentos se alterar.
2. Dois papéis diferentes
Somos responsáveis pelo tratamento dos dados dos negócios que subscrevem a Pontualio, das pessoas da sua equipa com acesso ao painel e de quem visita o nosso site ou nos contacta.
Somos subcontratantes quanto aos dados dos clientes finais que marcam serviços: aí, o responsável pelo tratamento é o negócio escolhido, que define as finalidades. Tratamos esses dados apenas segundo as instruções do negócio, nos termos do contrato de subcontratação. Se é cliente final, consulte o aviso de privacidade das marcações.
3. Que dados tratamos e com que fundamento
| Finalidade | Dados | Fundamento (art.º 6.º RGPD) | Conservação |
|---|---|---|---|
| Criar e gerir a conta do negócio | Nome, e-mail, palavra-passe cifrada, marca, função na equipa | Execução do contrato, al. b) | Enquanto a conta existir |
| Prestar o serviço de marcações | Estabelecimentos, serviços, horários, equipa, regras | Execução do contrato, al. b) | Enquanto a conta existir |
| Faturação e contabilidade | Dados de faturação e registos de pagamento | Obrigação jurídica, al. c) | 10 anos |
| Suporte e comunicação de serviço | Mensagens trocadas, e-mail de contacto | Execução do contrato, al. b) | 24 meses após o último contacto |
| Segurança, prevenção de abusos e limitação de pedidos | Registos de acesso, tentativas de autenticação, endereço IP, identificador de sessão | Interesse legítimo, al. f) | 12 meses |
| Cumprimento de obrigações legais e defesa de direitos | Os dados estritamente necessários a cada caso | Als. c) e f) | Até ao termo dos prazos legais aplicáveis |
O interesse legítimo invocado é a segurança e a continuidade do serviço. Ponderámos esse interesse contra os direitos dos titulares e concluímos pela sua prevalência por se tratar de dados mínimos, conservados por pouco tempo e usados apenas para proteger as contas.
4. Dados que não recolhemos
Não pedimos dados de categorias especiais (art.º 9.º do RGPD). Não recolhemos dados de menores de forma consciente. Não fazemos decisões automatizadas com efeitos jurídicos nem definição de perfis. Não vendemos nem cedemos dados pessoais para fins de marketing de terceiros.
5. Quem tem acesso aos dados
Acedem aos dados os nossos colaboradores, na estrita medida da sua função e sob dever de confidencialidade, e os subcontratantes seguintes, vinculados por contrato nos termos do artigo 28.º do RGPD:
| Subcontratante | Serviço | Localização | Salvaguarda |
|---|---|---|---|
| Vercel Inc. | Alojamento da aplicação e rede de distribuição | União Europeia (região de execução) / EUA (empresa-mãe) | Cláusulas Contratuais-Tipo da Comissão Europeia + DPF |
| Supabase Inc. | Base de dados e armazenamento de ficheiros | Reino Unido (aws eu-west-2, Londres) | Decisão de adequação da Comissão Europeia para o Reino Unido + Cláusulas Contratuais-Tipo |
| Resend (Plus Five Five, Inc.) | Envio dos e-mails transacionais de marcação | União Europeia / EUA | Cláusulas Contratuais-Tipo da Comissão Europeia |
| Stripe Payments Europe, Ltd. | Processamento dos pagamentos das subscrições | Irlanda / EUA (empresa-mãe) | Cláusulas Contratuais-Tipo da Comissão Europeia + DPF |
Podemos ainda comunicar dados a autoridades judiciais ou administrativas quando a lei o imponha, e a advogados ou auditores no âmbito da defesa dos nossos direitos.
6. Transferências para fora da União Europeia
A base de dados e os ficheiros estão alojados no Reino Unido (região aws eu-west-2, Londres), país coberto por decisão de adequação da Comissão Europeia. Quando um fornecedor possa aceder a dados a partir de outro país terceiro, a transferência assenta nas Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia, com medidas adicionais de cifra e de controlo de acessos. Pode pedir cópia das salvaguardas para info@pontualio.com.
7. Segurança
Entre as medidas técnicas e organizativas aplicadas contam-se:
- ligação cifrada (TLS) em todo o tráfego e cifra em repouso na base de dados;
- palavras-passe guardadas apenas como derivação criptográfica, nunca em claro;
- sessões com identificador guardado em resumo criptográfico e expiração automática;
- bloqueio temporário após tentativas falhadas de autenticação e limitação de pedidos;
- segregação dos dados por marca e controlo de acessos por função;
- cópias de segurança e registo de acessos administrativos.
Em caso de violação de dados pessoais que implique risco para os direitos dos titulares, notificamos a CNPD em 72 horas e, quando o risco for elevado, também os titulares afetados.
8. Os seus direitos
Pode pedir acesso, retificação, apagamento, limitação, portabilidade e opor-se a tratamentos fundados em interesse legítimo. Quando o tratamento assente em consentimento, pode retirá-lo a qualquer momento, sem afetar a licitude do tratamento anterior.
Para exercer, escreva para info@pontualio.com. Respondemos no prazo de um mês, prorrogável por dois meses em casos complexos. Podemos pedir elementos adicionais para confirmar a sua identidade.
Se é cliente final de um negócio, dirija o pedido a esse negócio, que é o responsável pelo tratamento; se nos for dirigido, encaminhamo-lo sem demora.
Tem ainda o direito de reclamar junto da Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, cnpd.pt.
9. Cookies
Usamos apenas cookies estritamente necessários ao funcionamento do serviço. Os pormenores constam da política de cookies.
10. Alterações a esta política
Podemos atualizar esta política. Alterações relevantes são comunicadas por e-mail aos negócios com conta ativa e assinaladas no site com pelo menos 15 dias de antecedência. A versão em vigor é sempre a publicada nesta página.