Política de Privacidade

1. Responsável pelo tratamento

1.1. O responsável pelo tratamento dos dados relativos ao website institucional, à conta de Cliente e à faturação é a SPIDERGENEROSITY UNIPESSOAL LDA, NIF 518723917, com sede em Av. do Brasil, 36, 2700-133 Amadora, Portugal, contactável pelo endereço support@guestflowpro.app.

2. Âmbito e papéis

2.1. Relativamente aos dados dos Hóspedes e demais titulares carregados pelo Cliente na Plataforma, o Cliente é responsável pelo tratamento e a SPIDERGENEROSITY UNIPESSOAL LDA atua como subcontratante nos termos do Contrato de Subcontratação.

2.2. A presente Política aplica-se, sem prejuízo, ao tratamento realizado diretamente pelo Prestador no âmbito da relação contratual com o Cliente e da operação do website guestflowpro.app.

3. Categorias de dados tratados

3.1. Dados do Cliente e Utilizadores: nome, email, telefone, função, organização, palavra-passe cifrada, preferências de idioma, sessão e histórico de acesso.

3.2. Dados fiscais e de faturação: denominação social, NIF, CAE, morada de faturação, referência do meio de pagamento (fornecida pelo Stripe, sem PAN completo).

3.3. Dados de Hóspedes (carregados pelo Cliente): nome, contactos (telefone e/ou email), preferências, histórico de reservas, notas operacionais, consentimentos de marketing e, quando aplicável, número de documento de identificação para efeitos de check-in.

3.4. Dados técnicos e logs: endereço IP, identificador de dispositivo, agente do utilizador, timestamps de ações, registos de auditoria de operações privilegiadas, registos de envio SMS/WhatsApp/email e webhooks Stripe.

3.5. Cookies nos termos da Política de Cookies.

4. Finalidades e bases legais

5. Prazos de conservação

Ver Política de Retenção de Dados. Em síntese:

• Contas e organizações ativas: durante a vigência do contrato.
• Dados após cancelamento: eliminação até 90 dias, salvo obrigação legal.
• Faturação e contabilidade: 10 anos (art. 123.º do CIRC).
• Logs de segurança e auditoria: 12 meses.
• Backups: rotação típica até 30 dias.

6. Partilha e subcontratantes

Os dados são partilhados com subcontratantes selecionados que oferecem garantias adequadas de proteção, designadamente:

• Supabase — base de dados, autenticação e armazenamento;
• Stripe — processamento de pagamentos e faturação;
• Twilio — envio de SMS e WhatsApp;
• Cloudflare — CDN, DNS, mitigação DDoS e email transacional (Cloudflare Email Routing / R2).

A lista completa e atualizada está disponível em /legal/subprocessadores.

7. Transferências internacionais

Sempre que se verifique transferência para país fora do Espaço Económico Europeu, a mesma é enquadrada por decisão de adequação da Comissão Europeia ou pelas Cláusulas Contratuais-Tipo (SCC) publicadas pela Decisão de Execução (UE) 2021/914, com medidas adicionais quando aplicável.

8. Cookies e tecnologias semelhantes

A informação sobre cookies utilizados, finalidades e gestão de preferências consta da Política de Cookies.

9. Direitos dos titulares

Nos termos dos artigos 15.º a 22.º do RGPD, o titular pode exercer os direitos de:

• acesso aos seus dados;
• retificação de dados inexatos;
• apagamento ("direito ao esquecimento");
• limitação do tratamento;
• portabilidade;
• oposição a tratamentos baseados em interesse legítimo;
• não sujeição a decisões automatizadas com efeitos jurídicos;
• retirar o consentimento a qualquer momento, sem afetar a licitude do tratamento previamente efetuado.

10. Exercício de direitos

10.1. Os direitos podem ser exercidos mediante pedido escrito para support@guestflowpro.app, sendo o pedido respondido, em regra, no prazo máximo de 30 dias.

10.2. Os Utilizadores autenticados podem também exportar os seus dados e solicitar a eliminação de conta a partir do menu Definições → Privacidade do back office (funcionalidade de account deletion request).

10.3. Quando o pedido diga respeito a dados de Hóspede tratados pelo Cliente, o titular deve dirigir-se ao respetivo Cliente enquanto responsável pelo tratamento.

11. Segurança

Aplicam-se as medidas técnicas e organizativas descritas na Política de Segurança, incluindo cifra em trânsito e em repouso, isolamento multi-tenant por Row Level Security, gestão de acessos por papéis, autenticação forte, logs de auditoria e monitorização contínua.

12. Violações de dados

Em caso de violação de dados pessoais suscetível de resultar em risco para os direitos e liberdades dos titulares, o Prestador notifica a Comissão Nacional de Proteção de Dados (CNPD) em 72 horas e, quando aplicável, comunica sem demora injustificada aos titulares afetados, nos termos dos artigos 33.º e 34.º do RGPD.

13. Menores

A Plataforma destina-se a profissionais e não recolhe intencionalmente dados de menores. Cabe ao Cliente assegurar o cumprimento do artigo 8.º do RGPD e do artigo 16.º da Lei n.º 58/2019 caso trate dados de menores no âmbito da sua atividade.

14. Alterações à Política

Esta Política pode ser revista para refletir alterações legais, contratuais ou operacionais. A versão em vigor é sempre a publicada em /legal/privacidade, com data de atualização visível no cabeçalho.

15. Contacto e Autoridade de Controlo

15.1. Encarregado de Proteção de Dados (DPO) e questões de privacidade: support@guestflowpro.app.

15.2. Sem prejuízo de outros meios de tutela, o titular tem o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, www.cnpd.pt.