Política de Privacidade

1. Quem somos

A plataforma Madeira Perks é operada pela entidade responsável pelo domínio gempassmadeira.com. Para qualquer questão sobre esta política ou sobre os seus dados: gempass.madeira@gmail.com.

2. Quem é responsável pelos seus dados

Esta é a parte mais importante desta política, e a que menos se parece com as outras que costuma ler. Quando visita um estabelecimento aderente e lê o código QR, há dois responsáveis diferentes pelos seus dados.

O estabelecimento é o responsável pelos dados da sua visita àquele espaço e pelas comunicações que lhe envia. É ele que decide se lhe quer escrever e o que lhe quer dizer. A Madeira Perks é subcontratante dele nessa parte: fornece a ferramenta, guarda os dados e envia os emails em nome dele, seguindo apenas as suas instruções.

A Madeira Perks é responsável, por sua própria conta, pelos dados da sua conta de utilizador: o registo, a autenticação, o histórico de visitas que vê no seu perfil, e a segurança da plataforma.

Na prática, se quiser exercer os seus direitos pode dirigir-se a nós para tudo. Encaminhamos o que for da competência do estabelecimento e respondemos ao resto.

3. Que dados recolhemos

Quando cria conta ou lê um código QR

• Endereço de email — obrigatório. É como entra: não usamos palavras-passe.
• Nome — opcional, para o tratarmos pelo nome.
• Telefone, nacionalidade e país de residência — opcionais.
• Idioma preferido, para lhe escrevermos na sua língua.
• Endereço IP no momento da visita e do consentimento, e o identificador do seu navegador. Servem como prova do consentimento e para detetar utilização abusiva dos códigos.

Quando visita um estabelecimento

• Qual o estabelecimento, qual o espaço concreto, a data e a hora.
• Como lá chegou: código QR, ligação, código no balcão ou rede Wi-Fi.

Quando avalia ou usa uma oferta

• A classificação em estrelas que atribuiu.
• Se a classificação foi baixa e escolheu escrever, o texto do comentário privado que enviou ao estabelecimento.
• Os códigos de oferta que reservou e se chegou a usá-los.
• Os estabelecimentos que marcou como favoritos.

O que não recolhemos

Não recolhemos dados de pagamento — a plataforma não processa pagamentos de clientes finais. Não usamos cookies de publicidade nem de análise de comportamento. Os únicos cookies que existem são os estritamente necessários para manter a sua sessão iniciada e para o levar de volta à página onde estava; por serem estritamente necessários, não carecem do seu consentimento.

Não tomamos decisões automatizadas com efeitos jurídicos sobre si, nem fazemos definição de perfis.

4. Porque tratamos os seus dados

Sobre o pedido de avaliação: consideramos que uma única mensagem a perguntar como correu a visita é uma expectativa razoável de quem acabou de ler o código QR de um estabelecimento aderente. Assenta por isso em interesse legítimo, e não em consentimento. Pode opor-se a qualquer momento, no seu perfil ou respondendo a qualquer email. Não é uma comunicação comercial e não lhe vendemos nada nela.

As comunicações comerciais são coisa diferente e exigem o seu «sim» explícito, dado a cada estabelecimento separadamente. Autorizar um restaurante não autoriza mais nenhum.

5. Quem tem acesso

O estabelecimento que visitou vê que o visitou, quando, a classificação que deu e o comentário privado que lhe escreveu. Vê o seu email se tiver autorizado receber comunicações dele.

Um estabelecimento nunca vê os dados dos clientes de outro. Não é uma promessa de boas intenções: está imposto na própria base de dados, aplica-se a cada consulta, e é verificado por testes automáticos a cada alteração do sistema.

Trabalhamos com três empresas que tratam dados por nossa conta, todas vinculadas por contrato e todas com os dados alojados na União Europeia:

São empresas norte-americanas, e as respetivas sociedades-mãe podem, em circunstâncias limitadas, aceder a dados alojados na Europa para suporte técnico. Essas transferências estão cobertas pelas Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia e, quando aplicável, pelo EU-U.S. Data Privacy Framework.

Se classificar uma visita com 4 ou 5 estrelas, oferecemos-lhe uma ligação para a página do estabelecimento no Google. Ao segui-la sai da nossa plataforma e passa a aplicar-se a política de privacidade do Google. Não lhe enviamos os seus dados: apenas o levamos até lá.

Não vendemos os seus dados nem os partilhamos para publicidade. Não os cedemos a mais ninguém, salvo se formos legalmente obrigados.

6. Durante quanto tempo guardamos

Enquanto a sua conta existir, guardamos os dados descritos nesta política. Ao fim de 3 anos, os registos de visitas e avaliações são anonimizados automaticamente, mesmo que a conta continue ativa: deixam de estar ligados a si e passam a contar apenas para as estatísticas do estabelecimento.

Se eliminar a conta, os dados que o identificam desaparecem — nome, email, telefone, favoritos. As visitas e as avaliações permanecem sem qualquer ligação a si, porque apagá-las alteraria retroativamente as estatísticas de estabelecimentos que nada têm a ver com a sua decisão.

A prova dos consentimentos sobrevive, incluindo o email a que dizia respeito. É a única exceção, e existe porque a lei nos obriga a poder demonstrar que teve consentimento quando o teve, mesmo depois de o retirar.

7. Os seus direitos

• Saber que dados temos sobre si, e receber uma cópia.
• Corrigir o que estiver errado — pode fazê-lo no seu perfil.
• Apagar a conta e os seus dados, com os limites da secção 6. Faz-se no seu perfil, sem ter de pedir a ninguém.
• Retirar o consentimento para comunicações comerciais a qualquer momento, no perfil ou pela ligação no rodapé de cada email. Retirar não afeta a licitude do que foi feito antes.
• Opor-se aos tratamentos que assentam em interesse legítimo.
• Limitar o tratamento e transferir os seus dados para outro serviço.

Para exercer qualquer destes direitos: gempass.madeira@gmail.com. Respondemos no prazo de um mês. Se entender que não tratámos o assunto como devíamos, pode reclamar junto da Comissão Nacional de Proteção de Dados (www.cnpd.pt).

8. Segurança

Os dados circulam sempre cifrados. O acesso é controlado na própria base de dados, e não apenas na aplicação: mesmo que uma página se esquecesse de verificar quem está do outro lado, as regras de acesso continuariam a aplicar-se. Os códigos de acesso enviados por email servem uma única vez e expiram.

Nenhum sistema é inviolável. Se ocorrer uma violação de dados que represente risco elevado para si, informá-lo-emos, e informaremos a autoridade no prazo legal de 72 horas.

9. Menores

A plataforma não se destina a menores de 16 anos e não recolhemos dados de menores conscientemente. Se souber que um menor nos forneceu dados, contacte-nos e apagamo-los.

10. Alterações

Se alterarmos esta política de forma significativa, avisamos por email antes de a alteração produzir efeitos. A data no topo indica sempre a versão em vigor.