Política de Privacidade

1. Identificação do responsável pelo tratamento

Timeless Expression Unipessoal Lda

NIF: 519194500

Marca/Plataforma: FIRO

Contacto para privacidade: [email protected]

2. Enquadramento legal aplicável em Portugal

O tratamento de dados pessoais e efetuado em conformidade com o Regulamento (UE) 2016/679 (RGPD), com a Lei n.º 58/2019 (execução do RGPD em Portugal), com a Lei n.º 41/2004, de 18 de agosto (na redação em vigor, relativa a privacidade nas comunicações eletrónicas) e com as orientações da CNPD.

3. Dados pessoais tratados

Podem ser tratados, conforme o contexto de utilização da plataforma:

• Dados de identificação (nome, email, telefone e, quando aplicável, NIF);
• Dados de conta e autenticação;
• Quando utiliza início de sessão com Google, os dados de utilizador Google que a Google disponibiliza no âmbito dos âmbitos (scopes) que aceitar no ecrã de consentimento OAuth (tipicamente: endereço de email, nome ou nome de perfil apresentado, identificador único da conta Google (subject / sub), e, se o ecrã de consentimento o indicar, fotografia de perfil), para autenticar o utilizador, criar ou associar a conta na FIRO e mostrar a identidade na sessão;
• Quando um utilizador do negócio (colaborador) liga o Google Calendar, tokens OAuth (acesso e atualização) armazenados de forma encriptada, endereço de email da conta Google associada à ligação, e metadados necessários à sincronização de eventos (por exemplo, identificadores de eventos criados ou atualizados);
• Dados de utilização da plataforma (registos técnicos, eventos e logs);
• Dados relativos a comunicação, pedidos de suporte e faturação.

A FIRO aplica o princípio da minimização, recolhendo apenas os dados adequados, pertinentes e limitados ao necessário.

A FIRO não vende dados pessoais nem dados de utilizadores Google a terceiros, incluindo a corretores de dados ou revendedores de informação.

4. Serviços Google (OAuth, início de sessão e Google Calendar)

A FIRO pode utilizar serviços da Google Ireland Limited (e, quando aplicável, afiliadas da Google) para autenticação e, de forma opcional, para sincronização de calendário, através das APIs e do protocolo OAuth 2.0 da Google.

4.1. Início de sessão com Google

Se escolher iniciar sessão com Google, será redirecionado para a Google, que lhe mostrará que permissões são solicitadas (tipicamente acesso ao email, informação de perfil e OpenID, conforme o ecrã de consentimento apresentado). A FIRO utiliza estes dados apenas para autenticar o utilizador, associar ou criar a respetiva conta na plataforma e exibir a identidade adequada na sessão. Não utilizamos estes dados para publicidade personalizada da Google nem os vendemos a terceiros.

4.2. Ligação opcional ao Google Calendar (contas de colaborador)

Utilizadores com perfil de colaborador de um negócio na FIRO podem, se a funcionalidade estiver disponível no seu plano, ligar voluntariamente a sua conta Google Calendar. Nessa ligação, a Google pode solicitar permissão para ver e gerir eventos do calendário (âmbito https://www.googleapis.com/auth/calendar.events) e para consultar o endereço de email principal da conta Google (âmbito https://www.googleapis.com/auth/userinfo.email), apenas para mostrar qual conta ficou ligada.

A FIRO utiliza esta permissão apenas para criar, atualizar ou remover eventos no calendário Google do próprio colaborador que correspondam a marcações/serviços atribuídos a esse colaborador na FIRO, mantendo a sua agenda alinhada com a plataforma. O colaborador pode revogar a ligação nas definições de perfil da FIRO; também pode revogar o acesso da aplicação nas definições de segurança da conta Google.

4.3. Armazenamento e limitações de uso

Os tokens e dados técnicos necessários às integrações Google são conservados de forma segura (incluindo encriptação de tokens sensíveis, quando aplicável) apenas pelo tempo necessário a manter a funcionalidade ou até remover a ligação / conta, salvo obrigações legais de conservação.

Os dados obtidos através das APIs Google são utilizados apenas para prestar e melhorar as funcionalidades da FIRO descritas nesta política, visíveis na interface da aplicação (início de sessão e sincronização de calendário descrita acima). Não vendemos nem alugamos esses dados. O tratamento respeita as exigências aplicáveis, incluindo a Google API Services User Data Policy (incluindo requisitos de utilização limitada, quando aplicável).

4.4. Utilizações não permitidas dos dados de utilizadores Google

A FIRO não utiliza dados de utilizadores Google obtidos através de OAuth ou das APIs Google para fins proibidos pela política da Google, nomeadamente: publicidade direcionada com base nesses dados, venda ou cessão a corretores de dados ou revendedores de informação, determinação de mérito creditício ou finalidades de crédito/empréstimo, publicidade personalizada de terceiros, remarketing ou anúncios baseados em interesses fora do âmbito de prestação da FIRO, criação de bases de dados autónomas para fins alheios à prestação da aplicação, ou treino de modelos de inteligência artificial com esses dados.

A utilização limita-se a funcionalidades voltadas para o utilizador na FIRO: autenticação, gestão de conta e, quando ativada pelo colaborador, sincronização de eventos de calendário ligados às marcações.

4.5. Partilha, transferência e divulgação de dados de utilizadores Google

Os dados de utilizadores Google tratados pela FIRO não são partilhados, transferidos ou divulgados a terceiros para os fins proibidos indicados na secção 4.4.

Podem existir subcontratantes (por exemplo, alojamento cloud, infraestrutura) que processam dados em nosso nome, estritamente para prestar ou melhorar a FIRO, com obrigações contratuais de confidencialidade e segurança. A Google atua como fornecedora de identidade e de APIs quando utiliza OAuth; o tratamento pela Google rege-se pelas políticas e consentimentos da sua conta Google.

Não transferimos dados de utilizadores Google a terceiros para publicidade, revenda ou finalidades incompatíveis com a prestação da aplicação.

4.6. Proteção de dados sensíveis e medidas de segurança

A FIRO aplica medidas técnicas e organizativas adequadas à natureza dos dados, incluindo comunicações protegidas por HTTPS/TLS, armazenamento seguro de credenciais e encriptação de tokens OAuth quando aplicável, controlos de acesso, registo e princípio do menor privilégio, e revisão periódica de práticas de segurança, de forma proporcional ao risco.

4.7. Conservação e eliminação (incluindo dados Google)

Os dados pessoais são conservados apenas pelo tempo necessário às finalidades descritas nesta política ou pelos prazos legais aplicáveis (por exemplo, fiscais ou contabilísticos), o que for mais longo apenas quando a lei o exigir.

Quando elimina a conta, revoga a ligação ao Google Calendar ou removemos a integração, os tokens OAuth e dados técnicos associados deixam de ser necessários e são eliminados ou anonimizados no prazo operacional razoável, sem prejuízo de backups temporários ou retenção mínima exigida por lei.

Pode solicitar o apagamento ou esclarecimentos sobre conservação contactando [email protected], nos termos dos seus direitos (secção 9).

A política de privacidade da Google aplica-se ao tratamento que a Google efetua na sua conta e serviços: policies.google.com/privacy.

5. Finalidades e bases de licitude

Os dados pessoais podem ser tratados para as seguintes finalidades:

• Criação e gestão de conta na plataforma;
• Prestação do serviço contratado e suporte operacional;
• Autenticação, incluindo através de fornecedores de identidade como a Google, quando o utilizador assim o escolher;
• Sincronização opcional de eventos de marcação com o Google Calendar do colaborador, quando este ativa a funcionalidade;
• Gestão de segurança, prevenção de fraude e auditoria;
• Cumprimento de obrigações legais, fiscais e contabilísticas;
• Comunicações de serviço e, quando aplicável, comunicações de marketing.

As bases de licitude aplicáveis incluem:

• Execução de contrato ou diligências pré-contratuais;
• Cumprimento de obrigações jurídicas;
• Interesse legítimo, com adequada ponderação de direitos;
• Consentimento, quando legalmente exigido (incluindo o consentimento prestado através do ecrã OAuth da Google ao ligar o calendário ou ao usar o início de sessão Google, conforme o caso).

6. Conservação dos dados e eliminação

Os dados são conservados apenas pelo período necessário para as finalidades que motivaram a sua recolha, ou pelos prazos legalmente exigidos. Os prazos de retenção são revistos periodicamente.

Findo o período de conservação aplicável a cada categoria de dados, estes são apagados ou anonimizados de forma que não permitam a sua associação a uma pessoa identificável, salvo quando a lei imponha arquivo por prazo superior.

Para dados ligados a OAuth Google, aplicam-se também as regras da secção 4 (incluindo revogação na FIRO e nas definições da conta Google).

7. Destinatários e subcontratantes

Os dados podem ser tratados por prestadores de serviços que atuam em nome da FIRO (por exemplo, alojamento, comunicações, suporte e infraestrutura), nos termos de contratos que asseguram confidencialidade, segurança e conformidade com o RGPD. Estes encargos limitam-se a prestar ou melhorar a aplicação FIRO, nos termos gerais da secção 4.5.

Para as funcionalidades descritas na secção 4, a Google atua como prestadora de infraestrutura de autenticação e de APIs de calendário; o tratamento dos dados pessoais nesse contexto está sujeito às condições da Google e às escolhas do utilizador na respetiva conta Google.

8. Transferências internacionais

Quando exista transferência de dados para fora do Espaço Económico Europeu, a FIRO adota mecanismos legais adequados, como decisões de adequação ou cláusulas contratuais-tipo aprovadas pela Comissão Europeia.

A utilização das APIs Google pode implicar o tratamento de dados em infraestruturas da Google; a Google disponibiliza informação sobre garantias e localização nas respetivas políticas e instrumentos contratuais.

9. Direitos dos titulares

Nos termos da lei aplicável, o titular dos dados pode exercer os direitos de:

• Acesso;
• Retificação;
• Apagamento;
• Limitação do tratamento;
• Oposição;
• Portabilidade (quando aplicável);
• Retirada do consentimento, sem comprometer a licitude do tratamento anterior.

Para exercer direitos, contacte [email protected].

10. Reclamações

O titular dos dados tem o direito de apresentar reclamação junto da Comissão Nacional de Proteção de Dados (CNPD), em www.cnpd.pt, sem prejuízo de qualquer outra via administrativa ou judicial.

11. Segurança da informação

A FIRO adota medidas técnicas e organizativas adequadas para proteger os dados pessoais contra destruição, perda, alteração, divulgação ou acesso não autorizado, de forma proporcional ao risco.

12. Alterações a esta política

Esta Política de Privacidade pode ser atualizada para refletir alterações legais, técnicas ou operacionais. A versão publicada nesta página é a versão em vigor.