Política de Privacidade

1. Quem somos

Dibs é o nome comercial sob o qual Diogo Pereira, empresário em nome individual, NIF PT267875630, com domicílio profissional em Rua Barão Forrester 752, 2.º Esq., 4050-273 Porto, disponibiliza este serviço. É Diogo Pereira o responsável pelo tratamento referido nesta política.

Esta Política de Privacidade explica como tratamos dados pessoais através do Dibs, para que finalidades os utilizamos, com quem os partilhamos, durante quanto tempo os conservamos e quais os direitos das pessoas a quem esses dados dizem respeito.

Para qualquer questão relacionada com privacidade ou proteção de dados, pode contactar-nos através de [email protected].

2. Os nossos papéis no tratamento de dados

Dependendo da situação, podemos atuar como responsável pelo tratamento ou como subcontratante, nos termos do Regulamento Geral sobre a Proteção de Dados (RGPD).

Quando somos responsáveis pelo tratamento

Somos responsáveis pelo tratamento dos dados relativos:

• aos negócios que utilizam o Dibs;
• aos utilizadores das contas das respetivas equipas;
• aos contactos de faturação;
• às pessoas que se registam no Dibs ou nos pedem acesso através do nosso site; e
• à utilização e segurança do próprio serviço.

Nestes casos, determinamos as finalidades e os meios essenciais do tratamento dos dados pessoais.

Quando somos subcontratantes

Quando um cliente efetua uma marcação junto de um negócio através do Dibs, esse negócio é, em regra, o responsável pelo tratamento dos dados pessoais relacionados com essa marcação, e o Dibs trata esses dados por conta e de acordo com as instruções desse negócio.

Se é cliente de um negócio que utiliza o Dibs e pretende exercer direitos relativamente aos dados associados às suas marcações, deverá contactar diretamente esse negócio. Prestaremos ao negócio a assistência necessária para responder ao pedido, nos termos aplicáveis. Cada negócio pode indicar a sua própria política de privacidade no fundo das páginas do seu site de marcações.

O Dibs não se destina a crianças. Quando um negócio faz uma marcação para uma criança, cabe ao negócio, enquanto responsável pelo tratamento, obter o consentimento que a lei exija de quem exerce as responsabilidades parentais.

3. Dados pessoais que tratamos

Podemos tratar as seguintes categorias de dados pessoais:

Contas de negócios e membros da equipa

Nome, endereço de email, número de telefone, função ou perfil de acesso e informações necessárias à autenticação e utilização da conta.

As palavras-passe não são armazenadas em formato legível, sendo protegidas através de mecanismos de hashing adequados.

Faturação e subscrições

Dados do contacto de faturação, informações sobre o plano ou subscrição contratada, estado da subscrição e informação necessária para efeitos administrativos, contabilísticos e fiscais.

Os dados completos dos cartões de pagamento são tratados diretamente pelo nosso prestador de pagamentos, Stripe, e não são armazenados pelo Dibs.

Registo

Quando se regista no Dibs, recolhemos o nome do negócio, o endereço que escolhe para o seu site, o seu nome, o seu endereço de email e a palavra-passe que define. Para confirmar o endereço de email, enviamos-lhe um código de 6 dígitos, que conservamos durante um dia. Registamos também que aceitou os Termos de Serviço e qual a versão que aceitou.

Pedidos de acesso

Se nos pedir acesso através do nosso site, recolhemos o nome do seu negócio, o seu nome, o seu endereço de email, o seu número de telefone, se o indicar, o plano que lhe interessa e a sua mensagem, e utilizamo-los apenas para lhe responder.

Registos de segurança

Para proteger o início de sessão, conservamos durante um dia as tentativas falhadas e os códigos enviados, associados ao endereço de email e a um resumo criptográfico do endereço IP, calculado com uma chave secreta guardada apenas nos nossos servidores, sem a qual não é possível recuperar o endereço. Registamos ainda os acontecimentos relevantes de cada conta, como mudanças de plano ou a criação de acessos da equipa, identificando a função de quem agiu, e não o seu nome ou email. Os registos técnicos da aplicação são conservados durante 14 dias; os restantes registos dos servidores têm um tamanho máximo, a partir do qual as entradas mais antigas são substituídas. Quando algo falha nos nossos servidores, conservamos um relatório do erro, sem os endereços de email, números de telefone e outros dados pessoais que conseguimos reconhecer, durante até 90 dias depois da última ocorrência.

Dados tratados por conta dos negócios

Quando atuamos como subcontratantes, podemos tratar dados como nomes, contactos, informações de marcações, as mensagens enviadas sobre essas marcações, os códigos que os clientes usam para iniciar sessão e notas inseridas pelo negócio relativamente aos seus clientes, que podem incluir dados de saúde, por exemplo quando um consultório regista uma nota sobre um tratamento.

O tipo exato de dados tratados depende da utilização que cada negócio faça do Dibs.

4. Finalidades e fundamentos jurídicos

Tratamos dados pessoais apenas quando existe um fundamento jurídico adequado.

Podemos tratar os dados para:

• prestar, gerir e proteger o serviço, incluindo criação e administração de contas, com fundamento na execução de um contrato ou na adoção de diligências pré-contratuais;
• criar a sua conta quando se regista e responder a pedidos de contacto, com fundamento em diligências pré-contratuais solicitadas pelo próprio titular ou, quando aplicável, no nosso interesse legítimo em responder a contactos relacionados com o serviço;
• gerir faturação, pagamentos, contabilidade e obrigações fiscais, com fundamento na execução do contrato e no cumprimento de obrigações legais;
• garantir a segurança, estabilidade e prevenção de utilizações abusivas ou fraudulentas do serviço, com fundamento no nosso interesse legítimo em proteger o Dibs, os seus utilizadores e os sistemas associados; e
• cumprir obrigações legais ou responder a pedidos legítimos de autoridades competentes, quando aplicável.

Quando tratamos dados por conta de um negócio que utiliza o Dibs, o fundamento jurídico desse tratamento é determinado por esse negócio enquanto responsável pelo tratamento.

Não vendemos dados pessoais nem os utilizamos para publicidade comportamental.

5. Com quem partilhamos os dados

Utilizamos prestadores de serviços necessários ao funcionamento do Dibs. Estes prestadores apenas devem tratar dados pessoais na medida necessária para prestar os respetivos serviços e de acordo com as obrigações contratuais e legais aplicáveis.

Utilizamos os seguintes prestadores:

• Cloudflare, Inc., por onde passa todo o tráfego de e para o Dibs e que o protege contra ataques;
• Hostinger, que aloja os servidores e a base de dados onde o Dibs funciona, no Reino Unido;
• Google Cloud, para guardar as cópias de segurança da base de dados, na União Europeia, e as imagens carregadas pelos negócios, nos Estados Unidos;
• Stripe Payments Europe, Ltd., para processamento de pagamentos e gestão de subscrições;
• Google Maps Platform, para encontrar e validar moradas quando um negócio configura os seus locais — os nossos servidores enviam-lhe apenas a morada pesquisada, nunca dados de clientes;
• Hostinger, para envio de emails relacionados com contas e marcações; e
• BulkGate, na República Checa, para envio de SMS relacionados com marcações, quando o negócio os utiliza.

Podemos também divulgar dados pessoais a autoridades públicas, tribunais ou outras entidades quando tal seja exigido por lei ou necessário para o exercício ou defesa de direitos jurídicos.

Quando atuamos como subcontratantes, utilizamos outros prestadores apenas nos termos permitidos pelos acordos celebrados com os negócios responsáveis pelo tratamento.

6. Transferências internacionais de dados

Alguns dos nossos prestadores podem tratar dados pessoais fora do Espaço Económico Europeu. Os nossos servidores estão no Reino Unido, que a Comissão Europeia reconheceu como garantindo um nível de proteção adequado.

Em particular, a Cloudflare, a Google e a Stripe pertencem a grupos sediados nos Estados Unidos e podem tratar dados nesse país. As três estão certificadas ao abrigo do Quadro de Proteção de Dados UE-EUA, que a Comissão Europeia reconheceu, em julho de 2023, como garantindo um nível de proteção adequado; quando uma transferência não esteja abrangida por ele, recorremos às cláusulas contratuais-tipo aprovadas pela Comissão Europeia.

Quando existe uma transferência internacional de dados pessoais, procuramos assegurar que esta é efetuada através de um mecanismo legalmente reconhecido, como:

• uma decisão de adequação adotada pela Comissão Europeia;
• cláusulas contratuais-tipo aprovadas pela Comissão Europeia; ou
• outro mecanismo de transferência permitido pela legislação aplicável.

Quando necessário, são igualmente avaliadas e adotadas medidas adicionais adequadas à proteção dos dados transferidos.

Pode contactar-nos através de [email protected] para obter mais informações sobre os mecanismos aplicáveis às transferências internacionais relevantes.

7. Conservação dos dados

Conservamos os dados pessoais apenas durante o período necessário para as finalidades para as quais foram recolhidos, tendo igualmente em consideração obrigações legais, contabilísticas, fiscais, contratuais e eventuais necessidades de defesa de direitos.

Em particular:

• os dados associados a uma conta são conservados enquanto a conta estiver em utilização. Se o acesso se mantiver restrito ou suspenso durante 6 meses, os dados são eliminados, depois de avisos aos administradores com pelo menos 30 dias de antecedência e novamente 7 dias antes (se não for possível avisar nenhum administrador, ou se ainda houver uma subscrição ativa, resolvemos primeiro essa situação); podem também ser eliminados mais cedo, a pedido, no prazo de 30 dias. Em ambos os casos, conservamos o que a lei exija e um registo de que a conta existiu: o seu nome, o seu endereço no Dibs, o histórico de faturação e o registo dos acontecimentos relevantes, que identifica funções e nunca pessoas;
• os documentos e registos relacionados com faturação são conservados durante 10 anos, como exige a legislação fiscal portuguesa;
• os códigos enviados para confirmar um email ou iniciar sessão, e os registos de tentativas de início de sessão falhadas, são eliminados ao fim de um dia;
• os registos técnicos da aplicação são eliminados ao fim de 14 dias, e os restantes registos dos servidores são substituídos à medida que atingem o seu tamanho máximo;
• os relatórios de erros, sem os dados pessoais que conseguimos reconhecer, são eliminados 90 dias depois da última ocorrência do erro;
• os pedidos enviados pelo nosso formulário de contacto são eliminados 12 meses depois da última atualização;
• as cópias de segurança da base de dados são eliminadas ao fim de 30 dias; e
• os dados tratados por conta de um negócio são conservados e eliminados de acordo com as instruções desse negócio e, no limite, nos termos indicados acima para os dados da conta; as mensagens enviadas aos seus clientes são eliminadas ao fim de 90 dias.

Quando os dados deixarem de ser necessários, serão eliminados ou anonimizados, salvo quando a sua conservação seja exigida por lei.

8. Segurança

Adotamos medidas técnicas e organizativas destinadas a proteger os dados pessoais contra acesso, alteração, divulgação, perda ou destruição não autorizados.

Entre outras medidas, o Dibs:

• mantém os dados de cada negócio separados, com a separação garantida pela própria base de dados (segurança ao nível da linha);
• cifra todo o tráfego de e para o Dibs (TLS);
• guarda as palavras-passe apenas sob a forma de resumos irreversíveis (bcrypt) e limita as tentativas repetidas de início de sessão;
• dá a cada utilizador acesso apenas ao que a sua função permite; e
• guarda as cópias de segurança da base de dados num repositório privado e cifrado, onde a aplicação pode acrescentar cópias mas não as pode ler nem eliminar.

Nenhum sistema de informação pode garantir segurança absoluta, pelo que revemos e atualizamos as nossas medidas de segurança em função dos riscos e da evolução tecnológica.

9. Os seus direitos

Nos termos previstos no RGPD, pode ter o direito de:

• obter confirmação sobre se tratamos os seus dados pessoais e solicitar o respetivo acesso;
• pedir a retificação de dados inexatos ou incompletos;
• solicitar o apagamento dos seus dados, quando aplicável;
• solicitar a limitação do tratamento;
• opor-se a determinados tratamentos, nomeadamente aos realizados com base em interesses legítimos;
• solicitar a portabilidade dos dados, quando estiverem reunidas as condições legais; e
• retirar o consentimento a qualquer momento, quando o tratamento se baseie no consentimento, sem afetar a licitude do tratamento realizado anteriormente.

Para exercer os seus direitos, contacte-nos através de [email protected].

Podemos solicitar informações razoavelmente necessárias para confirmar a sua identidade antes de responder ao pedido.

Se o pedido disser respeito a dados que tratamos exclusivamente por conta de um negócio que utiliza o Dibs, poderemos encaminhá-lo para esse negócio ou prestar-lhe assistência na resposta.

Tem ainda o direito de apresentar reclamação junto da Comissão Nacional de Proteção de Dados (CNPD), através de www.cnpd.pt.

10. Cookies e armazenamento local

O Dibs utiliza cookies e tecnologias de armazenamento local necessários ao funcionamento do serviço.

Atualmente, utilizamos os seguintes cookies de autenticação:

• dibs_at, utilizado como token de sessão de curta duração; e
• dibs_rt, utilizado para renovar a sessão.

Estes cookies são configurados para impedir, sempre que tecnicamente aplicável, o acesso através de scripts executados na página e são utilizados exclusivamente para autenticação, segurança e manutenção da sessão.

Podemos igualmente utilizar o armazenamento local do navegador para guardar opções como o idioma escolhido e outras preferências de apresentação.

Não utilizamos cookies próprios para publicidade comportamental ou análise da utilização do serviço.

A Cloudflare, por onde passa o tráfego do Dibs, pode definir cookies estritamente necessários para proteger o serviço contra acessos automatizados.

As pesquisas de moradas são feitas nos nossos servidores, pelo que o seu navegador não carrega o Google Maps, e o tipo de letra do site é servido pelo próprio Dibs. As imagens que um negócio carrega, como o logótipo e o banner, são servidas a partir da Google Cloud, pelo que o seu navegador as pede aos servidores da Google, que recebem o seu endereço IP. Como todos estes cookies e dados guardados são estritamente necessários, não pedimos consentimento para os utilizar.

11. Alterações a esta Política

Podemos atualizar esta Política de Privacidade ocasionalmente, nomeadamente devido a alterações no Dibs, nos nossos prestadores ou nas obrigações legais aplicáveis.

Sempre que a política seja alterada, atualizaremos a data indicada no início deste documento.

Quando as alterações forem materialmente relevantes para os negócios que utilizam o Dibs, procuraremos comunicá-las através de email ou de outro meio adequado.