Política de Privacidade

1. A quem se aplica esta política

Esta política aplica-se a dois grupos: os Comerciantes, que criam uma conta para gerir marcações, e os clientes, que fazem uma marcação através da página pública de um Comerciante sem criarem qualquer conta própria. Quanto aos dados dos clientes, o Comerciante cuja página foi utilizada é o responsável pelo tratamento e o Cardim é o seu subcontratante — ver os nossos Termos de Serviço para essa relação.

2. O que recolhemos

Se é Comerciante: o nome do seu negócio, o seu nome, o endereço de email, a palavra-passe (guardada sempre em hash, nunca em texto simples) e o fuso horário, a morada e o telefone do seu estabelecimento. Se ligar o Google Calendar e/ou o calendário do Outlook/Office 365, guardamos os tokens OAuth necessários para ler e escrever eventos no calendário que autorizar. Na leitura, retiramos apenas os períodos livres e ocupados do seu calendário, não os títulos nem os detalhes dos eventos. Na escrita, cada marcação que criamos por si como evento nesse calendário inclui o nome do cliente e o telefone, pelo que fica visível para qualquer outra pessoa com acesso a esse calendário. As notas que o cliente escreveu não são copiadas para lá — o evento indica apenas que existe uma nota, e o conteúdo fica no Cardim.

Se está a fazer uma marcação como cliente: o nome, o telefone e o endereço de email que introduzir, a data, a hora e o serviço que escolheu, e aquilo que decidir acrescentar no campo de notas, que é facultativo. O email é necessário porque é por aí que lhe enviamos a confirmação, o lembrete e o link para mudar ou cancelar — sem ele não receberia nada. Numa marcação de restaurante pedimos ainda o número de pessoas e, se quiser indicá-los, a zona da sala que prefere e a ocasião. Não pedimos documentos de identificação, dados de pagamento nem qualquer outra informação pessoal, e não existe conta nem palavra-passe de cliente — uma marcação é identificada por um link impossível de adivinhar, não por um início de sessão.

Se o Comerciante com quem marcou tiver o Google Calendar e/ou o calendário do Outlook ligados, o nome, o telefone e a hora são também escritos no evento que o Cardim cria para ele nesse calendário — ver o parágrafo anterior. As notas que escrever não são copiadas para esse calendário: o evento indica apenas que existe uma nota. São, no entanto, incluídas no aviso de nova marcação que enviamos por email ao Comerciante, entregue pelo nosso fornecedor de envio de email — ver a secção 5. Se apagarmos os seus dados, apagamos também o evento do calendário do Comerciante.

Tal como acontece na generalidade das aplicações web, os nossos fornecedores de alojamento registam automaticamente informação técnica corrente (endereço IP, data e hora, endereços pedidos) por razões de segurança e de fiabilidade.

3. Para que a utilizamos

• Para fazer funcionar o próprio sistema de marcações — mostrar a disponibilidade real, evitar marcações sobrepostas e criar a marcação.
• Para enviar por email confirmações, lembretes, avisos de cancelamento e, se o Comerciante o tiver configurado, um pedido de avaliação depois da visita.
• Para o Comerciante poder gerir o seu calendário, a sua equipa, os seus serviços e a sua lista de clientes.
• Para avisar os clientes em lista de espera quando vaga um horário que pretendiam.
• Para manter o Serviço seguro e diagnosticar problemas.
• Para calcular o que o Comerciante nos paga: contamos, em cada mês, as marcações feitas para esse mês e o número de pessoas de cada uma. Não contam as canceladas, as que o Comerciante assinale como não comparecidas, nem as que ele próprio introduz. Para esta contagem usamos apenas a data, a hora, o estado e o número de pessoas — nunca o nome, o telefone, o email ou as notas de quem marcou.

Não utilizamos os dados das marcações para publicidade e não vendemos dados pessoais a terceiros.

4. Fundamento jurídico (RGPD da UE e do Reino Unido)

Tratamos os dados da conta do Comerciante para executar o nosso contrato com ele (a prestação do Serviço). Tratamos os dados de marcação dos clientes por conta do Comerciante e de acordo com as instruções deste, para execução do contrato do próprio Comerciante com esse cliente (a marcação em causa) — ver a secção 1. Quando aplicável, apoiamo-nos também no interesse legítimo (por exemplo, para prevenir a utilização abusiva da lista de espera ou dos cancelamentos).

A contagem descrita no último ponto da secção 3 é o único tratamento de dados de marcações que fazemos por nossa própria conta e não por conta do Comerciante. Nessa parte — data, hora, estado e número de pessoas, sem identificação de quem marcou — o responsável pelo tratamento é o Cardim, com fundamento na execução do contrato que temos com o Comerciante e no cumprimento das nossas obrigações legais de faturação e contabilidade.

Informação de saúde. Se escrever no campo de notas alguma informação sobre a sua saúde — uma alergia alimentar, por exemplo, que é precisamente o que esse campo pede num restaurante — essa informação é uma categoria especial de dados pessoais (artigo 9.º do RGPD). Só a tratamos, e só a transmitimos ao Comerciante, com o seu consentimento explícito, que nos dá ao escolher escrevê-la nesse campo depois deste aviso. Pode retirá-lo a qualquer momento pedindo que a nota seja apagada. Se preferir não a registar aqui, diga-a diretamente ao estabelecimento.

5. Com quem os partilhamos

Os dados pessoais só são partilhados quando é necessário para o Serviço funcionar:

• O Comerciante cuja página de marcações o cliente utilizou — precisa dos contactos do cliente para lhe prestar efetivamente o serviço marcado.
• Resend, o nosso fornecedor de envio de email, para enviar os emails de confirmação, de lembrete e de cancelamento.
• Google, apenas para os Comerciantes que optem por ligar o Google Calendar — os períodos livres e ocupados lidos do calendário e, em cada marcação feita através do Cardim, um evento escrito nesse mesmo calendário com o nome do cliente, o telefone, o serviço e a hora. As notas escritas pelo cliente não são enviadas para a Google: o evento indica apenas que existe uma nota.
• Microsoft, apenas para os Comerciantes que optem por ligar o calendário do Outlook/Office 365 — a mesma leitura de disponibilidade e a mesma escrita de eventos descritas acima para a Google, também sem as notas do cliente, no calendário da Microsoft.
• Neon e Vercel, os nossos fornecedores de alojamento da base de dados e da aplicação, que armazenam e executam a infraestrutura do Serviço por nossa conta.
• Sentry, o nosso serviço de deteção de erros, que recebe relatórios técnicos quando algo falha na aplicação. Removemos das mensagens enviadas os endereços de email e as ligações que dão acesso a uma marcação ou à reposição de palavra-passe, para que esses relatórios não possam ser usados para aceder à sua marcação.

Nunca vendemos dados pessoais nem os partilhamos para publicidade de terceiros.

6. Durante quanto tempo os guardamos

Os registos das marcações são conservados enquanto a conta do Comerciante estiver ativa, para que possa gerir o histórico de marcações e as respetivas estatísticas. Cancelar uma marcação não elimina o respetivo histórico; a marcação fica assinalada como cancelada para que o registo se mantenha fiel ao que aconteceu.

Um cliente pode pedir ao Comerciante com quem marcou — ou a nós, para o endereço indicado na secção 7 — que os seus dados sejam apagados. Quando isso acontece, apagamos definitivamente o nome, o email e as notas, e substituímos o número de telefone por uma marca sem significado — o registo tem de continuar a existir para as marcações não ficarem órfãs, mas deixa de estar associado a qualquer pessoa. Apagamos também o evento que tenhamos criado no Google Calendar ou no Outlook do Comerciante, que é a única cópia desses dados fora do Cardim; se por algum motivo não conseguirmos, avisamos o Comerciante para que a apague ele próprio. As marcações em si mantêm-se, sem ninguém associado, porque são o registo contabilístico e fiscal do Comerciante — uma obrigação separada que o direito ao apagamento não anula.

Nem tudo é conservado deste modo. As inscrições em lista de espera — que guardam o nome, o telefone e o email de alguém que nunca chegou a marcar — são apagadas 30 dias depois da data a que diziam respeito. As sessões iniciadas expiram ao fim de 30 dias e são então apagadas. Os registos técnicos que usamos para travar tentativas abusivas de acesso guardam apenas um código irreversível do endereço IP, nunca o endereço em si, e são apagados ao fim de 24 horas.

7. Os seus direitos

Ao abrigo do RGPD tem o direito de aceder aos seus dados pessoais, de os corrigir, de os apagar e de os exportar, e ainda de se opor a determinados tratamentos ou de pedir que sejam limitados. Os clientes podem dirigir o pedido diretamente ao Comerciante com quem marcaram, ou contactar-nos para support@usecardim.com e encaminhamos o pedido para quem de direito.

Tem também o direito de apresentar reclamação à autoridade de controlo competente. Em Portugal, é a Comissão Nacional de Proteção de Dados (CNPD) — www.cnpd.pt.

Os Comerciantes podem transferir todos os dados da sua conta a qualquer momento, em Definições → Os seus dados. Para corrigir o nome ou o email da conta, ou para a encerrar e apagar tudo, escrevam-nos para support@usecardim.com: respondemos e concluímos no prazo de 30 dias.

8. Segurança

As palavras-passe são guardadas em hash, nunca em texto simples. Todos os dados em trânsito são encriptados (HTTPS/TLS). O acesso aos dados em produção está limitado ao necessário para operar e apoiar o Serviço. Nenhum sistema é totalmente seguro e não podemos garantir uma segurança absoluta, mas adotamos medidas razoáveis e correntes no setor para proteger os dados que temos connosco.

9. Cookies

Utilizamos exatamente um cookie: um cookie de sessão estritamente necessário (cardim_session) que mantém a sessão do Comerciante iniciada no painel de administração. É um identificador opaco, sem qualquer informação legível lá dentro, marcado como httpOnly e secure, para que os scripts da página não o consigam ler e para que só seja enviado através de uma ligação encriptada (HTTPS). Não é usado para rastreio nem para publicidade. De momento não utilizamos quaisquer cookies de análise ou de publicidade de terceiros. Os clientes que fazem uma marcação não recebem cookie nenhum — a marcação é acedida pelo seu link impossível de adivinhar, não por uma sessão.

10. Privacidade dos menores

O Serviço não se dirige a crianças e as contas de Comerciante destinam-se apenas a empresas. Não recolhemos conscientemente dados pessoais de crianças através do processo de marcação, para além do que um pai, uma mãe ou um tutor possa indicar em nome da criança (por exemplo, ao marcar um corte de cabelo para o filho).

11. Transferências internacionais de dados

As suas marcações e os dados dos seus clientes são guardados numa base de dados alojada em Londres, no Reino Unido (Neon, sobre infraestrutura AWS na região eu-west-2). Os restantes fornecedores indicados na secção 5 — envio de email, alojamento da aplicação e calendários — podem tratar dados noutros países.

Escolhemos fornecedores que oferecem garantias adequadas para as transferências internacionais (como as cláusulas contratuais-tipo) sempre que a lei o exija.

12. Alterações a esta política

Se fizermos alterações substanciais a esta política, atualizamos a data de "Última atualização" acima e, sempre que for praticável, avisamos diretamente os Comerciantes.

13. Contactos

Perguntas sobre esta política, ou qualquer pedido relativo aos seus dados, podem ser enviados para support@usecardim.com.