Política de Privacidade — Nexus Management

Última atualização: [preencher na publicação]

Esta política explica que dados pessoais o Nexus Management ("Nexus", "nós") trata, para quê, e quais os teus direitos. Como o Nexus é uma plataforma usada por negócios ("Negócios") para gerir os seus próprios clientes ("Clientes Finais"), esta política distingue claramente dois papéis diferentes que a Nexus desempenha — é importante perceberes qual se aplica a ti.

1. Os dois papéis da Nexus

a) Como responsável pelo tratamento — para os dados da tua conta de Negócio e das contas dos teus Utilizadores/colaboradores (nome, email, password, telefone, permissões, dados de faturação da subscrição do Nexus): aqui, a Nexus decide as finalidades e meios do tratamento, e esta política aplica-se diretamente a ti como titular desses dados.

b) Como subcontratante (data processor) — para os dados dos Clientes Finais que um Negócio insere ou recolhe através do Nexus (nome, contacto, histórico de marcações/serviços, notas, fotos, dados de pagamento de reservas): aqui, o Negócio é o responsável pelo tratamento, e a Nexus trata esses dados apenas seguindo as instruções do Negócio, nos termos do Acordo de Subcontratação de Dados abaixo. Se és Cliente Final de um Negócio que usa o Nexus e tens dúvidas sobre os teus dados, deves contactar diretamente esse Negócio — é ele quem decide as finalidades do tratamento e a quem cabe responder aos teus pedidos, nós apenas prestamos o suporte técnico.

2. Quem somos

[Nome da entidade legal], com sede em [morada], NIPC [número], contacto: [email de contacto de privacidade]. [Se aplicável: temos um Encarregado de Proteção de Dados, contactável em [email]].

3. Que dados recolhemos

Dados de conta (Negócio e Utilizadores)

Nome, email, password (encriptada — nunca em texto simples), número de telefone, função/permissões, dados de faturação da subscrição (processados pela Stripe — não guardamos números de cartão).

Dados técnicos

Endereço IP (para limitação de tentativas de acesso e prevenção de abuso), registos de acesso, tipo de dispositivo/navegador, cookies estritamente necessários (ver Política de Cookies).

Dados de Clientes Finais (tratados em nome do Negócio — ver secção 1.b)

Nome, contacto (telefone/email), data de nascimento (opcional), histórico de marcações e serviços, notas de atendimento, fotografias associadas ao histórico de serviço (quando o Negócio opta por as carregar), consentimentos registados (ex.: consentimento de marketing), dados de pagamento de reservas online (processados diretamente pela Stripe — não guardamos dados de cartão).

4. Para que usamos os dados e com que base legal

5. Com quem partilhamos dados

Partilhamos dados apenas com subcontratantes que nos ajudam a prestar o serviço, sob contrato que os obriga a proteger os dados e a não os usar para fins próprios:

• Stripe (processamento de pagamentos de subscrição e de reservas online) — stripe.com/privacy
• [Provedor de alojamento/base de dados — a preencher, ex.: fornecedor de hosting Postgres]
• [Provedor de email transacional — a preencher]
• [Provedor de SMS, se aplicável — a preencher]

Nunca vendemos dados pessoais a terceiros. Só partilhamos dados com autoridades quando legalmente obrigados.

6. Transferências internacionais

[A preencher consoante os fornecedores escolhidos] — se algum subcontratante estiver localizado fora do Espaço Económico Europeu, a transferência é feita com base em Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia ou outro mecanismo de garantia adequado (ex.: a Stripe processa dados também nos EUA, ao abrigo do seu enquadramento de transferências — ver a política de privacidade da Stripe).

7. Quanto tempo guardamos os dados

• Dados de conta: enquanto a conta estiver ativa, e até [ex.: 90 dias] após o encerramento, para permitir reativação e cumprir obrigações legais.
• Documentos de faturação: pelo prazo legal aplicável em Portugal (atualmente 10 anos).
• Dados de Clientes Finais: pelo período definido pelo próprio Negócio (responsável pelo tratamento) nas suas próprias políticas, ou até o Negócio os eliminar através do Nexus.
• Registos técnicos/logs de segurança: [ex.: 12 meses].

8. Segurança

Usamos medidas técnicas e organizativas adequadas: passwords encriptadas (hash), ligação HTTPS, controlo de acesso por permissões, isolamento de dados entre Negócios (multi-tenant), limitação de tentativas de acesso. Nenhum sistema é 100% seguro — se soubermos de uma violação de dados que te afete, notificamo-te e, quando legalmente exigido, notificamos a CNPD no prazo de 72 horas.

9. Os teus direitos

Se os teus dados forem tratados diretamente por nós (secção 1.a), tens direito a: aceder aos teus dados, retificá-los, apagá-los, limitar o tratamento, opor-te ao tratamento, portabilidade, e retirar o consentimento quando aplicável (sem afetar a licitude do tratamento anterior). Para exercer estes direitos, contacta [email de contacto].

Se és Cliente Final de um Negócio (secção 1.b), exerce estes direitos diretamente junto desse Negócio.

Tens também o direito de apresentar reclamação junto da Comissão Nacional de Proteção de Dados (CNPD) — www.cnpd.pt.

10. Menores

O Nexus não se destina a ser usado diretamente por menores de 18 anos como titulares de conta. Dados de Clientes Finais menores de idade podem ser tratados pelos Negócios nos termos da sua própria relação com os encarregados de educação — essa responsabilidade é do Negócio.

11. Alterações a esta política

Podemos atualizar esta política periodicamente. Alterações materiais serão comunicadas com pelo menos 15 dias de antecedência.

12. Contactos

[email de contacto de privacidade]

Acordo de Subcontratação de Dados (Artigo 28.º RGPD)

Ver documento completo: `ACORDO_SUBCONTRATACAO_DADOS_RGPD.md`, que faz parte integrante desta política e dos Termos de Serviço para todos os Negócios que usam o Nexus para tratar dados de Clientes Finais.