1. Quem somos
A CalGest é operada por Bruno André Oliveira Adão, Empresário em Nome Individual, NIF PT229535062, com sede em Rua Catadouro 675, 1.º Esq., Rio Alcaide, 2480-170 Porto de Mós, Portugal ("CalGest", "nós"). Esta Política de Privacidade explica como tratamos dados pessoais quando utiliza o nosso website, dashboard e aplicação móvel.
Para utilizadores no Espaço Económico Europeu aplicamos o Regulamento Geral sobre a Proteção de Dados (UE) 2016/679 (RGPD) e a Lei n.º 58/2019, de 8 de agosto. Para utilizadores fora do EEE, tratamos os dados segundo os mesmos princípios e cumprimos a legislação local aplicável.
Questões de privacidade: privacy@calgest.com.
2. O seu papel e o nosso papel ao abrigo do RGPD
- Para os dados da sua conta, autenticação, operação da plataforma e análises do serviço: a CalGest é responsável pelo tratamento.
- Para os dados de clientes, colaboradores, marcações e registos introduzidos pela sua organização: a sua organização é a responsável pelo tratamento e a CalGest atua como subcontratante nos termos de tratamento de dados previstos nos nossos Termos e Condições.
- Para o processamento de pagamentos: a Stripe (através do Stripe Managed Payments) é o merchant of record e responsável independente pelo tratamento dos dados de pagamento. Ver secção 5.
Cada empresa que utiliza a CalGest continua responsável por recolher e utilizar licitamente os dados dos seus próprios clientes e colaboradores (por exemplo, com uma base legal válida e mantendo os dados atualizados).
3. Categorias de dados pessoais que tratamos
- Identificação e conta: nome, endereço de e-mail, ID de utilizador Clerk, imagem de perfil e datas de registos da conta.
- Organização e faturação: nome da empresa, NIF, morada de faturação, identificadores de subscrição e estado do plano. Os dados de cartão e bancários são tratados diretamente pela Stripe e não são armazenados pela CalGest.
- Dados operacionais do negócio: contactos de clientes e colaboradores, marcações, notas, campos personalizados e registos de tracking introduzidos pela sua equipa.
- Ficheiros e anexos: documentos ou ficheiros multimédia carregados em registos de marcações.
- Comunicações: e-mails de convite, notificações do sistema e (quando ativadas) lembretes ou notificações por SMS enviadas a clientes e colaboradores através do nosso fornecedor de SMS. Os números de telefone dos destinatários e o conteúdo das mensagens são transmitidos a esse fornecedor para entrega na rede móvel.
- Dados técnicos: endereço IP, localização aproximada derivada do IP, informações do browser e dispositivo, tokens de notificações push (móvel), metadados de pedidos e logs do serviço usados para segurança, prevenção de fraude e fiabilidade.
- Análise opcional do produto no cliente: atualmente não recolhemos dados analíticos opcionais de utilização a partir das aplicações web, dashboard ou móvel.
- Dados do assistente de IA: quando usa o assistente de IA no produto, os seus prompts e o contexto relevante que decide partilhar são enviados ao nosso fornecedor de IA para gerar uma resposta.
Não vendemos dados pessoais e não os usamos para publicidade.
4. Porque tratamos dados (finalidades e bases legais)
- Para prestar o serviço (Art. 6.º, n.º 1, al. b) — contrato): autenticação, agendamento, registos, notificações, armazenamento de ficheiros e funcionalidades do assistente de IA.
- Para gerir subscrições (Art. 6.º, n.º 1, al. b) e al. c) — contrato / obrigação legal): estado da subscrição e contabilidade fiscal. O processamento de pagamentos, faturação e conformidade de IVA são assegurados pela Stripe através do Stripe Managed Payments enquanto merchant of record (ver secção 5).
- Para proteger a plataforma (Art. 6.º, n.º 1, al. f) — interesses legítimos): controlo de acessos, prevenção de abusos, antifraude e resolução de problemas. O nosso interesse é operar um serviço seguro, o que não prevalece sobre os seus direitos fundamentais.
- Para comunicarmos sobre o serviço (Art. 6.º, n.º 1, al. b) e al. f)): e-mails transacionais (conta, convites e atualizações materiais de produto).
- Análise opcional do produto: atualmente não recolhemos análise opcional do produto no lado do cliente. Se isto mudar, atualizaremos este aviso e obteremos consentimento quando exigido antes de iniciar a recolha.
5. Fornecedores de serviços (subcontratantes)
Utilizamos fornecedores especializados para operar a CalGest:
- Cloudflare (EUA / global): distribuição de conteúdos, proteção contra DDoS, armazenamento de ficheiros via Cloudflare R2 e envio de e-mails transacionais via Cloudflare Email Service (por exemplo, convites e notificações de conta).
- Clerk (EUA): autenticação e gestão de identidade.
- Convex (EUA): funções de backend, base de dados e infraestrutura de agendamento.
- Stripe (Stripe Payments Europe Ltd., Irlanda, e Stripe, Inc., EUA) através do Stripe Managed Payments: a Stripe é o merchant of record das subscrições da CalGest e responsável independente pelos dados de pagamento. A Stripe processa pagamentos, liquida IVA, emite recibos e faturas e trata de comunicações relacionadas com pagamentos. Os dados de cartão e bancários são tratados pela Stripe e nunca chegam aos servidores da CalGest.
- GatewayAPI (GatewayAPI ApS, Dinamarca — UE): envio de SMS para lembretes e notificações de marcações, quando o SMS está ativado. Os números de telefone dos destinatários e o conteúdo das mensagens são enviados à GatewayAPI para entrega na rede móvel.
- OpenAI (EUA): fornece o modelo de linguagem do assistente de IA. Os prompts e o contexto que envia ao assistente são transmitidos à OpenAI para gerar respostas. Nos termos da API da OpenAI, os inputs e outputs não são usados para treinar os seus modelos.
- Sentry: comunicação de falhas e erros em produção. O envio no cliente exclui logs, traces, replay e contexto pessoal predefinido, e os dados do erro são expurgados antes da transmissão.
- Expo (EUA), quando as notificações push móveis estão ativas: infraestrutura de entrega de notificações push.
Exigimos salvaguardas contratuais aos fornecedores e limitamos os acessos ao necessário para a prestação do serviço. Uma lista atualizada está disponível a pedido para privacy@calgest.com.
6. Transferências internacionais de dados
Vários dos nossos fornecedores (Cloudflare, Clerk, Convex, Stripe, OpenAI, Expo, Sentry) estão estabelecidos nos Estados Unidos ou tratam dados globalmente. Para transferências a partir do EEE utilizamos mecanismos compatíveis com o RGPD, tipicamente as Cláusulas Contratuais-Tipo da UE e, quando aplicável, o Data Privacy Framework UE–EUA. O nosso fornecedor de SMS (GatewayAPI, Dinamarca) está alojado na União Europeia.
7. Conservação de dados
- Dados de conta e organização: conservados enquanto a conta estiver ativa e eliminados ou anonimizados até 30 dias após o encerramento da conta, salvo se for legalmente exigido um período mais longo.
- Dados operacionais (marcações, clientes, colaboradores, registos, anexos): conservados enquanto a organização mantiver a conta ativa. No encerramento da conta são eliminados em conjunto com os restantes dados da organização.
- Registos fiscais e de faturação: conservados por 10 anos conforme exigido pela lei fiscal e contabilística portuguesa (Decreto-Lei n.º 28/2019 e CIVA).
- Logs de segurança e metadados de pedidos: conservados até 12 meses para segurança e resposta a incidentes.
- Prompts do assistente de IA: processamento de curta duração pelo fornecedor de IA para gerar uma resposta; o histórico de mensagens é armazenado na CalGest juntamente com a conta do utilizador e eliminado com ela.
8. Medidas de segurança
Aplicamos medidas técnicas e organizativas, incluindo:
- Controlos de acesso baseados em funções e proteções de autenticação.
- Isolamento multi-inquilino por identificadores de organização no modelo de dados.
- Cifragem em trânsito e proteções de infraestrutura geridas pelos nossos fornecedores.
- Monitorização operacional e procedimentos de resposta a incidentes.
Nenhum serviço online consegue garantir segurança absoluta, mas trabalhamos continuamente para reduzir o risco. Caso tomemos conhecimento de uma violação de dados pessoais suscetível de representar risco para os seus direitos, notificaremos os utilizadores afetados e, quando aplicável, a CNPD no prazo de 72 horas.
9. Os seus direitos de privacidade
Dependendo da sua localização, pode ter direito a:
- Aceder aos seus dados pessoais.
- Corrigir dados inexatos ou incompletos.
- Solicitar o apagamento (direito ao esquecimento).
- Limitar ou opor-se a determinados tratamentos.
- Solicitar a portabilidade dos dados, quando legalmente aplicável.
- Retirar o consentimento, quando o tratamento se baseie em consentimento.
Quando a sua organização é a responsável pelo tratamento dos dados em causa (por exemplo, registos que o seu empregador mantém na CalGest), deve dirigir o pedido a essa organização. Ajudá-la-emos a responder.
Para exercer direitos diretamente junto da CalGest, contacte privacy@calgest.com. Procuramos responder no prazo de um mês. Os residentes do EEE podem também apresentar queixa junto da autoridade de proteção de dados local — em Portugal, a CNPD.
10. Cookies e tecnologias semelhantes
A CalGest utiliza armazenamento no browser (cookies e local storage) apenas quando estritamente necessário para gestão de sessão, autenticação, segurança e persistência de preferências. É utilizado sem consentimento porque o serviço não pode operar sem estas funcionalidades.
Atualmente não definimos cookies opcionais de análise, não utilizamos trackers de publicidade nem partilhamos dados com redes publicitárias.
11. Decisões automatizadas e funcionalidades de IA
A CalGest não toma decisões com efeitos jurídicos ou significativos baseadas exclusivamente em tratamento automatizado. O assistente de IA no produto é uma ferramenta de produtividade que responde aos seus prompts e pode, a seu pedido, executar ações dentro do produto através de ferramentas integradas (por exemplo, criar, alterar ou reagendar marcações e responder a perguntas sobre os seus dados). O ser humano (o utilizador) mantém o controlo: cada ação é iniciada pelo seu prompt e pode ser revista ou revertida no produto.
12. Crianças
A CalGest não é dirigida a crianças. Para criar uma conta é necessário ter pelo menos 16 anos. Se pensa que uma criança nos forneceu dados pessoais, contacte-nos e iremos eliminá-los.
13. Atualizações a esta política
Podemos atualizar esta política à medida que o produto ou os requisitos legais evoluem. Quando as alterações forem materiais, atualizaremos a data acima e comunicaremos de forma clara através do produto ou por e-mail.
14. Contacto
Pedidos e questões de privacidade: privacy@calgest.com
Questões legais gerais: legal@calgest.com