Política de privacidade

Quem é o responsável

[a preencher], NIF [a preencher], com sede em [a preencher] (a «Karimba») é a responsável pelos dados pessoais descritos nesta política.

Para qualquer questão sobre os seus dados, escreva para [a preencher].

Os dados dos cartões de cliente

Os dados de um cartão de cliente — o nome, as visitas, os carimbos, os pontos, as ofertas e os prémios — são do negócio que deu o cartão. O responsável por eles é esse negócio; a Karimba trata-os por conta dele, como subcontratante.

Para esses dados vale o aviso de privacidade de cada negócio, que a app do cartão mostra antes de o criar e que fica na página de privacidade do negócio.

O mesmo vale para os dados da equipa de cada negócio: a Karimba trata-os por conta do negócio.

O mesmo email pode estar nos dois papéis. A conta com que se entra — a de um cliente ou a de quem gere um negócio — é da Karimba, que a gere como responsável. Esse mesmo email, enquanto faz parte de um cartão ou dos dados de um negócio, é tratado por conta desse negócio, como subcontratante.

A app Karimba e as notificações

A carteira, em karimba.me/carteira, pode ser instalada no telemóvel como a app Karimba, com os cartões de todos os negócios.

Na app Karimba pode activar as notificações e escolher, negócio a negócio, de quais quer receber mensagens. A subscrição de notificações do aparelho fica guardada em cada negócio que escolher, e é tratada por conta desse negócio, como os outros dados do cartão. Cada negócio envia no máximo uma mensagem por semana.

Para chegar ao aparelho, cada mensagem passa pelo serviço de notificações do sistema do telemóvel ou do browser — por exemplo, o da Google, o da Apple, o da Microsoft ou o da Mozilla, conforme o browser. Esse serviço recebe a mensagem cifrada, só para a entregar, e pode estar fora do Espaço Económico Europeu. É escolhido pelo browser do aparelho, não pela Karimba.

Pode desligar as mensagens de um negócio, ou as notificações todas, na app Karimba. Na app do cartão de cada negócio, em “Privacidade e dados”, pode também desligar as mensagens desse negócio.

Que dados trata a Karimba

A conta de quem gere um negócio: o email, o nome e a forma de entrar (por email ou pela conta Google).

Os dados do contrato e da faturação de cada negócio: o plano, o preço acordado, os dados de faturação que o negócio dá e as faturas.

A conta de acesso dos clientes: o email, ou a identificação da conta Google, com que um cliente entra. É da Karimba porque a mesma conta serve os cartões de vários negócios e a carteira, em karimba.me/carteira.

Dados de segurança: as tentativas de registo de negócios, com o endereço IP guardado só como hash, e os registos técnicos dos servidores.

Estatísticas de utilização do site e das apps, agregadas e sem cookies.

Para quê e com que fundamento

Prestar o serviço ao negócio, gerir a sua conta e faturar: a execução do contrato (artigo 6.º, n.º 1, alínea b), do RGPD) e, na faturação, o cumprimento de obrigações legais (alínea c)).

Dar a cada cliente uma conta de acesso que sirva os seus cartões e a carteira: a execução do pedido do próprio cliente, que cria a conta para os usar (alínea b)).

Proteger o serviço contra abusos e fraude, com o captcha, o limite de registos e os registos técnicos: o interesse legítimo da Karimba e dos negócios em manter o serviço seguro (alínea f)).

Saber como o site e as apps são usados, com estatísticas agregadas e sem cookies: o interesse legítimo em melhorar o serviço (alínea f)).

A Karimba não vende dados pessoais nem os usa para publicidade.

Por quanto tempo

A conta de quem gere um negócio: enquanto o contrato durar. Depois, apaga-se até 30 dias após o fim do contrato.

Os dados de faturação: pelo prazo que a lei fiscal obriga a guardar.

A conta de acesso dos clientes: enquanto existir. Apagar um cartão não apaga a conta, porque ela serve os cartões de outros negócios. Para apagar a conta, escreva para [a preencher].

Os dados de segurança: só o tempo necessário para proteger o serviço. Ainda não há um prazo fixo para os apagar, nem um apagamento automático.

Cookies

A Karimba usa só os cookies necessários para o serviço funcionar: os da sessão, para se manter com a sessão iniciada, e os que o balcão e o cartão precisam para funcionar.

Não usa cookies de rastreio nem de publicidade, e as estatísticas são feitas sem cookies. Por isso, não lhe pede que aceite cookies.

Com quem se partilham os dados

Só com os subcontratantes da Karimba, que tratam os dados por conta dela, e quando a lei o obrigue. Hoje são estes:

Supabase — base de dados e contas de acesso (autenticação) (Reino Unido (Londres); empresa com sede nos Estados Unidos).

Vercel — alojamento do site e das apps, e estatísticas de utilização sem cookies (Vercel Web Analytics) (pode tratar os pedidos fora do Espaço Económico Europeu, incluindo nos Estados Unidos; empresa com sede nos Estados Unidos).

Cloudflare — o captcha do registo de negócios (Cloudflare Turnstile) (rede global; empresa com sede nos Estados Unidos).

Google — entrar com a conta Google, só quando a pessoa o escolhe (Estados Unidos e outros países).

Como subcontratante, a Google só recebe dados se escolher entrar com a conta Google. O captcha da Cloudflare só aparece no registo de negócios.

Transferências para fora do Espaço Económico Europeu

A base de dados e as contas de acesso (Supabase) ficam no Reino Unido, em Londres, fora do Espaço Económico Europeu (EEE). A Comissão Europeia reconheceu que o Reino Unido assegura um nível de proteção adequado, e é nessa decisão de adequação (artigo 45.º do RGPD) que assentam as transferências para lá.

O alojamento do site e das apps (Vercel) pode tratar os pedidos fora do Espaço Económico Europeu, e os subcontratantes são empresas com sede nos Estados Unidos, que podem tratar dados fora do EEE.

Essas transferências só se fazem com as garantias do capítulo V do RGPD: as cláusulas contratuais-tipo aprovadas pela Comissão Europeia ou, quando a empresa a ele aderiu, o Quadro de Privacidade de Dados UE-EUA.

Os seus direitos

Pode pedir o acesso aos seus dados, a sua retificação ou apagamento, a limitação do tratamento e a portabilidade, e opor-se ao tratamento baseado no interesse legítimo. Escreva para [a preencher].

Para os dados de um cartão, o pedido é ao negócio que o deu. Na app do cartão, em “Privacidade e dados”, pode também descarregar os seus dados e apagar o cartão.

A resposta chega no prazo de um mês, que a lei permite prolongar nos pedidos mais complexos.

Se achar que os seus dados não são bem tratados, pode apresentar queixa à Comissão Nacional de Proteção de Dados (CNPD), em www.cnpd.pt.

Alterações a esta política

Quando esta política mudar, a data no topo muda com ela.