Política de privacidade da Mova Agenda

1. Quem é responsável pelos dados

A Mova Digital, marca de Fábio André da Rocha Morais, com o NIF 266037860 e morada em Rua Professor António Costeira, 3720-158 Oliveira de Azeméis (a "Mova"), é responsável pelos dados das contas (donos dos negócios e profissionais), pela faturação e pelo funcionamento da Mova Agenda.

Os dados dos clientes de cada negócio (fichas, marcações, notas e respostas aos formulários) são do negócio, que é o responsável pelo tratamento. A Mova trata-os só por conta do negócio e segundo as suas instruções, como subcontratante (artigo 28.º do RGPD), nos termos do acordo de tratamento de dados que faz parte das condições de utilização.

Contacto para questões de privacidade: geral@movadigital.pt.

2. Dados de quem tem conta

• Nome e endereço de email, para identificar a conta e enviar a ligação de entrada e os convites.
• Sessões: data de entrada e identificação do browser, para manter a sessão iniciada durante 7 dias. A conta e a sessão são comuns aos produtos da Mova (o painel, a Mova Academia, o Mova Links, o Mova Conteúdo, o Mova Radar e a Mova Agenda).
• Endereço IP, usado só durante pouco tempo para limitar tentativas repetidas de entrada.
• O conteúdo da página de marcações do negócio: nome, logótipo, imagem de capa, cores, serviços, preços, horários, profissionais (nome e foto, se o negócio a puser), contactos e morada. Este conteúdo é público, porque é para isso que serve a página.
• A aceitação das condições de utilização e do acordo de tratamento de dados (versão e data).
• Nos planos pagos: o identificador de cliente e o estado da subscrição no Stripe. Os dados do cartão são tratados pelo Stripe e nunca chegam à Mova. O Stripe trata também alguns destes dados como responsável próprio, para prevenir fraude e cumprir obrigações legais, segundo a sua política de privacidade.

3. Dados de quem marca num negócio

Quando marca na página de um negócio, os seus dados ficam guardados por conta desse negócio, que decide para que os usa. Para saber mais ou exercer os seus direitos, contacte o negócio. A Mova não usa estes dados para fins próprios, não os vende e não os usa para publicidade.

• Nome, email e, se o negócio o pedir, telemóvel, para identificar a marcação e o contactar sobre ela.
• Respostas aos campos que o negócio puser no formulário e uma nota opcional, se as escrever.
• A marcação: serviço, profissional, dia, hora e estado (confirmada, cancelada, falta). O negócio pode acrescentar notas internas e campos próprios à sua ficha.
• Um código aleatório para gerir a marcação pelo link que recebe. A Mova guarda só uma impressão digital (hash) do código, nunca o código.
• O endereço IP, guardado só como impressão digital (hash) e durante pouco tempo, para limitar marcações repetidas e abusos.

As notas, os campos próprios, a data de nascimento e as notas das marcações são guardados encriptados.

4. Para que usamos os dados e com que fundamento

• Criar e manter as contas, publicar a página de marcações e mostrar a agenda: execução do contrato (as condições de utilização).
• Guardar e tratar os dados dos clientes de cada negócio: por conta do negócio, segundo as suas instruções. O fundamento é escolhido pelo negócio, que é o responsável.
• Proteger as contas e as páginas, limitar abusos e registar os acessos às fichas: interesse legítimo na segurança do serviço e obrigação de segurança do RGPD (artigo 32.º).
• Cobrar as subscrições e cumprir as obrigações fiscais: execução do contrato e obrigação legal.
• Enviar emails de conta (entrada, convites, fim da experiência, pagamento falhado, aviso antes de apagar dados): execução do contrato. Não enviamos publicidade.

5. Emails

• Ao negócio, em todos os planos: novas marcações, cancelamentos pelo cliente e, se quiser, um resumo do dia.
• Aos clientes do negócio, só no plano Agenda com avisos: marcação recebida, confirmada, alterada ou cancelada e lembrete na véspera. São enviados em nome do negócio, que pode receber as respostas.
• Os emails nunca levam as notas nem os campos próprios das fichas.
• A Mova Agenda não envia SMS.

6. Cookies

Só quem entra na sua conta recebe um cookie: o de sessão, necessário para manter a sessão iniciada e comum aos produtos da Mova. Não serve para publicidade nem para análise, e por isso não depende de consentimento.

As páginas de marcações e a página para gerir uma marcação não usam cookies. A página inicial e as páginas de marcações usam as estatísticas de visitas da Vercel (Vercel Web Analytics), que contam visitas de forma agregada, sem cookies e sem identificar quem visita. A página para gerir uma marcação não tem estatísticas.

7. Quem mais trata os dados

Recorremos a fornecedores que tratam dados por nossa conta, com contrato para o efeito:

• Vercel: alojamento da aplicação, com as funções a correr na União Europeia (Frankfurt), e estatísticas de visitas sem cookies.
• Neon: base de dados, alojada na União Europeia (Frankfurt).
• Resend: envio dos emails da conta, dos avisos ao negócio e, no plano Agenda com avisos, dos emails aos clientes do negócio.
• Stripe: pagamento das subscrições. Não recebe dados dos clientes dos negócios.

Alguns destes fornecedores são empresas com sede fora da União Europeia, sobretudo nos Estados Unidos, e podem tratar dados fora do Espaço Económico Europeu (por exemplo, no envio de emails). Quando isso acontece, é com as garantias previstas no RGPD, como decisões de adequação (incluindo o Quadro de Privacidade de Dados UE-EUA) ou as cláusulas contratuais-tipo da Comissão Europeia. Pode pedir-nos mais informação sobre estas garantias.

8. Durante quanto tempo

• Conta: enquanto existir. Ao apagar a conta, deixa de ter acesso aos negócios.
• Dados de um negócio (página, agenda, fichas e marcações): enquanto a experiência ou a subscrição estiverem ativas. Quando a experiência acaba sem subscrição, ou quando a subscrição é cancelada, a página fica em pausa e os dados são apagados 30 dias depois. Nesses 30 dias, o dono pode exportá-los. Avisamos por email antes de apagar.
• Fichas de clientes: o negócio pode apagar uma ficha a qualquer momento; as marcações dessa pessoa ficam anónimas ("Cliente apagado"). Os clientes sem marcações há 24 meses são assinalados ao negócio, para decidir se os mantém.
• Limites contra abusos: só o tempo de cada limite, com impressões digitais (hash) em vez do endereço IP ou do email.
• Registos de faturação: 10 anos, como exige a lei fiscal (artigo 52.º do Código do IVA).
• Cópias de segurança: a base de dados mantém cópias durante 7 dias. Os dados apagados deixam de existir nelas ao fim desse prazo.

9. Segurança

• Ligações sempre cifradas (HTTPS) e dados alojados na União Europeia.
• Notas, campos próprios, data de nascimento e notas das marcações encriptados (AES-256-GCM), com a chave guardada fora da base de dados.
• Separação entre negócios garantida pela própria base de dados: cada negócio só vê os seus dados e cada profissional só vê os clientes que atende.
• Registo de cada leitura, exportação ou apagamento de uma ficha, só com identificadores.
• Sessões de 7 dias, sem renovação automática.

10. Os seus direitos

Se tem conta: pode pedir para consultar, corrigir, apagar ou receber uma cópia dos seus dados, e opor-se ou pedir a limitação do tratamento. Escreva para geral@movadigital.pt. Respondemos no prazo de um mês, que pode ser prorrogado até mais dois meses em pedidos complexos; nesse caso, avisamos.

Se marcou num negócio: o responsável pelos seus dados é o negócio, a quem deve dirigir os pedidos. Se nos escrever, passamos o pedido ao negócio sem demora e ajudamo-lo a responder.

O email é necessário para criar a conta e para marcar: sem ele não conseguimos prestar o serviço.

Se considerar que os seus dados não estão a ser bem tratados, pode apresentar queixa à Comissão Nacional de Proteção de Dados (www.cnpd.pt).

11. Alterações a esta política

Quando esta política mudar, a nova versão é publicada nesta página, com a data da atualização. Se a mudança for importante, avisamos por email quem tem conta.