Política de privacidade

O Stamped é um software de cartões de fidelização digitais (cartões de carimbos) para negócios como cafés, barbearias, casas de chá e padarias, explorado por João Cunha, NIF 298414635, com sede em Beco da Monica, Quarteira, Portugal.

Para qualquer questão sobre dados pessoais, escreva para [email protected].

Tratamos dados pessoais em dois papéis diferentes:

• Como responsável pelo tratamento: dados de quem visita este site, pede uma demonstração ou cria uma conta; dados das pessoas da equipa dos negócios que usam o Stamped (proprietário, gerentes, funcionários ao balcão); e dados de faturação das licenças.
• Como subcontratante (art. 28.º do RGPD): dados que cada negócio regista no Stamped sobre os seus clientes finais (por exemplo, nome, telemóvel e/ou email, data de nascimento, cartões, carimbos, recompensas, mensagens e consentimentos). Aqui, o responsável é o negócio: é ele que decide que dados recolhe e para quê, e é a ele que deve dirigir os pedidos sobre esses dados. O Stamped trata-os apenas por instrução do negócio, nos termos do Acordo de tratamento de dados.

Se for cliente de um negócio que usa o Stamped e nos contactar diretamente, encaminhamos o pedido para esse negócio e ajudamo-lo a responder.

• Pedidos de experimentação e de demonstração: nome, email, nome do negócio, telemóvel (se o indicar), data escolhida e o endereço IP do pedido (para travar abusos).
• Contas da equipa: nome, email, telemóvel (opcional), função no negócio, palavra-passe (guardada apenas em forma cifrada irreversível), data do último acesso e o registo das ações feitas na app.
• Acesso por link enviado por email: o email, o endereço IP e a hora do pedido.
• Faturação da licença: dados do negócio (nome, NIF, morada, email) e o histórico de pagamentos da subscrição. Os dados do cartão são tratados diretamente pela Stripe; o Stamped não os vê nem guarda.
• Suporte: o conteúdo das mensagens que nos envia. Quando o negócio nos pede ajuda e entramos na conta como suporte, a entrada fica registada e o proprietário é avisado por email.

Por conta de cada negócio, e só para gerir o seu programa de fidelização, o Stamped trata:

• nome, telemóvel e/ou email e, se o cliente a indicar, a data de nascimento;
• os cartões de fidelização, o histórico de carimbos (data, loja e pessoa da equipa que os atribuiu) e as recompensas ganhas ou usadas;
• o histórico das mensagens enviadas (SMS, WhatsApp e email);
• os consentimentos para comunicações promocionais, com a data e a versão do texto aceite.

O Stamped não processa pagamentos dos clientes dos negócios.

Mensagens sobre o cartão (carimbo adicionado, recompensa disponível, recompensa ou cartão a expirar) fazem parte do serviço que o cliente pediu ao aderir ao cartão. O cliente pode desativar cada tipo destas mensagens.

Mensagens promocionais (campanhas, aniversário, "temos saudades suas") só são enviadas a quem deu consentimento ativo, numa opção que não vem assinalada por defeito; o consentimento fica registado com a data e a versão do texto. O cliente pode retirá-lo a qualquer momento, sem afetar o que foi feito antes.

Notificações no telemóvel (novidades do negócio) só chegam a quem as ativa no browser, aparelho a aparelho. Guardamos apenas o endereço técnico dessa inscrição; as notificações seguem cifradas pelo serviço de notificações do próprio browser (Google, Apple, Mozilla ou Microsoft). Desligam-se em "A minha conta" ou nas definições do browser.

• Contas e dados do negócio: enquanto o contrato estiver ativo.
• Dados dos clientes finais: enquanto o negócio mantiver a conta e o cliente estiver ativo no programa de fidelização, ou pelo período definido pelo negócio; o negócio pode apagar um cliente a qualquer momento.
• Depois de o negócio cancelar: 90 dias para poder pedir uma exportação ou reativar a conta; a seguir, os dados são apagados. As cópias de segurança rodam e desaparecem em até 14 dias.
• Faturas e registos contabilísticos: 10 anos, como exige a lei fiscal.
• Pedidos de demonstração que não deram contrato: 12 meses.
• Registos de mensagens enviadas (SMS, WhatsApp e email) e registos de auditoria: 24 meses.
• Links de acesso por email: deixam de funcionar ao fim de poucos minutos ou após a primeira utilização.

Recorremos a estes fornecedores (subcontratantes), com contratos que os obrigam a proteger os dados:

As mensagens WhatsApp são enviadas através de um serviço de ligação (Evolution API) que corre nos nossos próprios servidores, a partir do número e da conta WhatsApp do próprio negócio. A entrega das mensagens é feita pelo WhatsApp (Meta), em nome do negócio e segundo os termos que o negócio aceitou com o WhatsApp.

O serviço de nomes de domínio (Cloudflare) apenas encaminha o endereço do site e não tem acesso aos dados da app. Neste site público, e só com o seu consentimento, usamos o Meta Pixel e as etiquetas da Google para medir os nossos anúncios; quando um negócio que veio de um anúncio subscreve o Stamped, enviamos essa conversão à Meta e à Google (com o email em forma cifrada, sem dados dos clientes dos negócios).

Os dados ficam alojados na União Europeia. Quando um fornecedor os trata fora do Espaço Económico Europeu (por exemplo, nos EUA), a transferência baseia-se numa decisão de adequação da Comissão Europeia (como o Quadro de Privacidade de Dados UE-EUA, para empresas certificadas) ou em cláusulas contratuais-tipo aprovadas pela Comissão.

Pode pedir acesso aos seus dados, a sua retificação ou apagamento, a limitação do tratamento, a portabilidade e opor-se a tratamentos baseados em interesse legítimo. Quando o fundamento for o consentimento, pode retirá-lo a qualquer momento, sem afetar o que foi feito antes.

Envie o pedido para [email protected]. Respondemos no prazo de um mês. Para dados de clientes de um negócio (cartões, carimbos, mensagens, consentimentos), o pedido deve ser feito a esse negócio (ver ponto 2).

Tem também o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, www.cnpd.pt.

• Ligações sempre cifradas (HTTPS).
• Palavras-passe guardadas com cifra irreversível (bcrypt); links de acesso de uso único.
• Cada negócio só vê os seus próprios dados; cada pessoa da equipa só vê o que a sua função permite.
• Limites de tentativas de acesso, cópias de segurança diárias e registo das ações importantes.
• Em caso de violação de dados, avisamos os negócios afetados sem demora e, quando aplicável, a CNPD no prazo de 72 horas.

Usamos cookies essenciais ao funcionamento e, só se autorizar, cookies de preferências e de medição e publicidade. Os de medição e publicidade (Meta e Google) existem apenas neste site público, nunca na área dos negócios nem no cartão dos clientes. Pode mudar a sua escolha a qualquer momento no link "Cookies", no fim de cada página.

Se mudarmos esta política de forma relevante, avisamos os negócios por email antes de a alteração produzir efeitos. A data da última atualização está no topo da página.