Política de Privacidade

Última atualização: [AAAA-MM-DD]

Esta política explica como tratamos os seus dados pessoais quando usa a aplicação «Os Magalhães» (Android e iPhone) para encomendar ao restaurante Os Magalhães, em Amadora.

1. Responsável pelo tratamento

[Denominação social ou nome do empresário em nome individual], NIF 292437714, Rua João de Deus, 33, Loja, Venda Nova, 2700-487 Amadora, Portugal. Contacto para questões de privacidade: [email de contacto, ex.: geral@osmagalhaes.pt].

2. Que dados recolhemos

Conta: nome, email, telemóvel, método de início de sessão (email, Google ou Apple).

Encomendas: artigos, observações, valores, moradas de entrega (casa/trabalho), NIF para fatura (opcional).

Localização: apenas se autorizar, para verificar se entregamos na sua morada; não é guardada em segundo plano.

Pagamentos: tratados pela Stripe; guardamos apenas a referência do pagamento e, se escolher guardar um cartão, a marca e os últimos 4 dígitos.

Notificações: identificador do dispositivo para enviar o estado das encomendas.

Marketing: a sua escolha de receber (ou não) novidades e promoções.

Apoio ao cliente: as mensagens que trocar connosco em Perfil › Falar connosco, com o seu nome, email e telemóvel, para lhe podermos responder.

Bebidas alcoólicas: quando a encomenda inclui bebidas alcoólicas, guardamos a sua confirmação de que tem 18 anos ou mais.

Prevenção de fraude: durante o pagamento, a Stripe recolhe dados técnicos do telemóvel (por exemplo, o modelo, o sistema operativo e a forma como o formulário de pagamento é usado) para detetar fraude.

3. Finalidades e fundamentos (RGPD, art. 6.º)

Gerir a conta e processar, entregar e faturar encomendas — execução do contrato.

Cumprir obrigações fiscais e contabilísticas — obrigação legal.

Segurança e prevenção de fraude — interesse legítimo.

Envio de novidades e promoções — consentimento, que pode retirar a qualquer momento em Perfil › Editar perfil.

4. Subcontratantes

Google (Firebase: autenticação, base de dados, servidores, notificações e alojamento do painel de gestão e das páginas públicas), Stripe (pagamentos), Zoho Corporation (ZeptoMail: envio dos emails, como a confirmação da encomenda), Expo (envio de notificações push) e OpenStreetMap/Nominatim (verificação de moradas). Todos atuam por nossa conta, com contratos de tratamento de dados.

Alguns destes prestadores podem tratar dados fora do Espaço Económico Europeu (ex.: EUA), com base em decisões de adequação (EU-US Data Privacy Framework) ou cláusulas contratuais-tipo aprovadas pela Comissão Europeia.

Com a conta de envio de emails usada atualmente, os emails são tratados no centro de dados da Zoho na Índia, fora do Espaço Económico Europeu. [a confirmar com um advogado]

5. Conservação

Os dados da conta são conservados enquanto a conta estiver ativa. As faturas e registos de encomendas são conservados pelo prazo legal fiscal (atualmente 10 anos). Os dados de marketing são apagados quando retirar o consentimento.

As mensagens do apoio ao cliente são apagadas quando elimina a conta.

6. Os seus direitos

Tem direito de acesso, retificação, apagamento, limitação, portabilidade e oposição, e de retirar o consentimento. Pode eliminar a conta diretamente na aplicação (Perfil › Eliminar conta) ou contactar-nos.

Pode apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD) — www.cnpd.pt.

Veja como eliminar a conta, e o que é apagado e conservado, em Eliminar a conta.

7. Menores

A aplicação destina-se a maiores de 16 anos. Bebidas alcoólicas só são vendidas a maiores de 18 anos.

8. Segurança

Os dados circulam sempre cifrados (HTTPS) entre a aplicação, os nossos servidores e os prestadores acima. A base de dados fica nos servidores da Google (Firebase), na União Europeia; cada cliente só tem acesso aos seus próprios dados e só a equipa do restaurante, com contas próprias, vê as encomendas.

As palavras-passe são geridas pela Google (Firebase Authentication) e não ficam guardadas em texto legível. Os dados do cartão são tratados apenas pela Stripe, certificada segundo a norma de segurança PCI DSS, e não passam pelos nossos servidores.