Política de Privacidade

1. Responsável pelo tratamento

O responsável pelos dados descritos nesta Política é Rafael Henrique Barros. Para qualquer questão de privacidade, utilize o e-mail abaixo.

• Titular: Rafael Henrique Barros, pessoa singular residente em Espanha, que presta o serviço com o nome comercial Noctelo.
• NIF/NIE: Z2504792M
• E-mail: contato@noctelo.site

2. Dois papéis: responsável e subcontratante

Somos responsáveis pelos dados das contas que utilizam o Noctelo (titulares, gestores e equipa), pela faturação, pelo suporte e pelos visitantes do site.

Os dados que cada negócio introduz sobre os seus clientes e profissionais — contactos, marcações, mensagens, notas, fotografias, valores — pertencem a esse negócio, que é o respetivo responsável. Nesse caso atuamos apenas como subcontratante, por conta dele e segundo as suas instruções, nos termos acordados nos Termos. Se é cliente ou profissional de um negócio que utiliza o Noctelo, dirija os seus pedidos a esse negócio; se nos escrever, encaminhamos o pedido e ajudamos a responder-lhe.

3. Que dados tratamos

• Conta: nome, e-mail, telefone, palavra-passe (guardada apenas como hash irreversível), idioma, função e permissões, e o registo da aceitação destes documentos (versão, data e endereço IP).
• Negócio: nome, morada, país, configurações, plano e histórico de subscrição.
• Faturação: identificadores de cliente e de subscrição na Paddle, valor, estado e datas dos pagamentos. Os dados do cartão são introduzidos no formulário da Paddle e nunca chegam até nós.
• Utilização e segurança: endereço IP, tipo de dispositivo e navegador, registos de acesso e de erros.
• Suporte: o conteúdo das mensagens que nos envia.
• Visitantes da montra: estatísticas de visitas pseudonimizadas. O endereço IP é transformado num código que muda todos os dias e não pode ser revertido; o IP em si não é guardado.
• Por conta dos negócios (como subcontratante): dados de clientes (nome, telefone, histórico de marcações, mensagens de WhatsApp e Telegram, notas, avaliação de confiança), de profissionais (nome, contacto, horários, valores e comissões, fotografias e perfil da montra, PIN) e, quando o negócio usa a verificação de chegada nas saídas, a morada da saída e a localização do dispositivo no momento da chegada.

4. Para que usamos os dados e com que fundamento

• Criar e gerir a conta e prestar o serviço contratado — execução do contrato (art. 6.º, n.º 1, al. b) do RGPD).
• Faturação e obrigações fiscais e contabilísticas — execução do contrato e cumprimento de obrigação legal (al. b) e c)).
• Segurança, prevenção de fraude e de abuso, proteção contra robôs no registo e diagnóstico de erros — interesse legítimo em manter o serviço seguro e a funcionar (al. f)).
• E-mails de serviço (confirmação de conta, recuperação da palavra-passe, avisos sobre a subscrição e alterações a estes documentos) — execução do contrato.
• Estatísticas pseudonimizadas da montra, para mostrar ao negócio quantas visitas teve — interesse legítimo, com o mínimo de dados possível.
• Responder a pedidos de suporte — execução do contrato ou interesse legítimo em responder a quem nos contacta.

Não vendemos dados pessoais, não os usamos para publicidade e não tomamos decisões automatizadas com efeitos jurídicos a seu respeito. Não enviamos comunicações de marketing sem o seu consentimento.

5. Com quem partilhamos

Recorremos aos seguintes fornecedores, que tratam dados apenas para nos prestarem o seu serviço e com obrigações contratuais de proteção:

• Paddle.com Market Ltd (Reino Unido) — Merchant of Record: checkout, pagamentos, faturas, impostos e reembolsos. A Paddle trata também os dados de pagamento como responsável, nos termos da política de privacidade da Paddle.
• Contabo GmbH (Alemanha, UE) — servidores onde estão alojados o serviço e a base de dados.
• Backblaze, Inc. (EUA) — cópia de segurança da base de dados fora do servidor principal.
• Sendinblue SAS — Brevo (França, UE) — envio dos e-mails do serviço.
• OpenAI (EUA) — tratamento de mensagens e pedidos pelas funcionalidades de IA, quando o negócio as utiliza.
• Functional Software, Inc. — Sentry (EUA) — monitorização de erros técnicos, com os cabeçalhos de autenticação e os campos sensíveis removidos.
• Cloudflare, Inc. (EUA) — verificação anti-robô (Turnstile) no registo.
• OpenStreetMap Foundation (Reino Unido) — conversão da morada de uma saída em coordenadas, quando o negócio usa a verificação de chegada. Só é enviada a morada, sem nome nem contacto.
• Serviços de notificações dos navegadores (Google, Apple, Mozilla) — entrega das notificações push que ativar.

O WhatsApp (Meta) e o Telegram não são fornecedores nossos: são serviços que o negócio liga com contas próprias, e as mensagens que passam por eles ficam sujeitas às políticas desses serviços.

Podemos ainda partilhar dados com consultores profissionais (por exemplo, jurídicos ou contabilísticos), sujeitos a dever de sigilo, e com autoridades, quando a lei o exigir.

6. Transferências internacionais

Alguns fornecedores estão fora do Espaço Económico Europeu. Para o Reino Unido aplica-se a decisão de adequação da Comissão Europeia. Para os Estados Unidos, as transferências assentam no Quadro de Privacidade de Dados UE-EUA, quando o fornecedor está certificado, ou nas cláusulas contratuais-tipo aprovadas pela Comissão Europeia. Pode pedir-nos uma cópia das garantias aplicáveis.

7. Durante quanto tempo guardamos

• Dados da conta e do negócio: enquanto a conta existir. Depois de um pedido de encerramento há 30 dias para desistir; findo esse prazo, os dados são apagados, ficando apenas um registo sem dados pessoais de que o apagamento ocorreu.
• Cópias de segurança: são substituídas em ciclo e cada cópia é apagada ao fim de 14 dias.
• Registos de faturação: pelo prazo exigido pela legislação fiscal e comercial.
• Registos de erros: até 90 dias.
• Estatísticas pseudonimizadas da montra: 400 dias.
• Mensagens de suporte: pelo tempo necessário para tratar o pedido e eventuais seguimentos.

8. Segurança

Todas as ligações são cifradas (HTTPS). As palavras-passe são guardadas apenas como hash, as sessões de WhatsApp são cifradas na base de dados, o acesso aos servidores é restrito e feito por chave, e cada negócio só vê os seus próprios dados. Nenhum sistema é infalível; se ocorrer uma violação que afete os seus dados, avisá-lo-emos a si e às autoridades nos prazos previstos na lei.

9. Cookies e armazenamento local

Usamos apenas cookies e armazenamento local estritamente necessários: a sessão e a proteção contra pedidos forjados (CSRF), o idioma escolhido, o tema e preferências da interface, como notificações silenciadas ou o negócio ativo. Não usamos cookies de publicidade nem ferramentas de análise de terceiros, pelo que não pedimos consentimento para cookies.

10. Os seus direitos

Pode pedir o acesso aos seus dados, a retificação, o apagamento, a limitação do tratamento e a portabilidade, e opor-se aos tratamentos baseados em interesse legítimo. Quando o tratamento se basear no consentimento, pode retirá-lo a qualquer momento. O titular da conta pode exportar os dados do negócio e pedir o encerramento diretamente nas definições.

Para exercer estes direitos, escreva para contato@noctelo.site. Respondemos no prazo de um mês, prorrogável nos casos previstos na lei. Podemos pedir informação para confirmar a sua identidade.

Se considerar que os seus direitos não foram respeitados, pode apresentar reclamação à Agencia Española de Protección de Datos ou à autoridade de proteção de dados do país onde vive ou trabalha — em Portugal, a Comissão Nacional de Proteção de Dados (CNPD).

11. Menores

O serviço destina-se exclusivamente a maiores de 18 anos. Não recolhemos conscientemente dados de menores; se tomarmos conhecimento disso, apagamo-los.

12. Alterações a esta Política

Podemos atualizar esta Política, por exemplo quando mudarmos de fornecedor. A data e a versão em vigor constam do topo da página; as alterações relevantes são comunicadas aos titulares de conta por e-mail ou no painel.