Política de Privacidade — Synexus

Esta política explica, em linguagem simples, como o serviço Synexus, incluindo o ecossistema público, trata dados pessoais. Descreve os fluxos actualmente implementados neste repositório; uma organização pode ainda ter políticas próprias para os dados que decide tratar através da plataforma.

1. Responsáveis pelo tratamento

O serviço é operado por Rui Duarte Pinto Oliveira, actualmente enquanto pessoa singular, e pode ser contactado em synex.geral@gmail.com. Para a conta, autenticação, segurança, apoio, funcionamento da plataforma, consentimentos do serviço, faturação Stripe, telemetria opcional da organização e analíticos públicos consentidos, o operador Synexus determina as finalidades do tratamento. A identificação postal e fiscal adicional será publicada nos canais comerciais antes de um lançamento que a exija.

Um negócio é, em regra, responsável pelo tratamento dos dados dos seus clientes, trabalhadores, contactos e conteúdos que decide introduzir ou publicar. Para alojar e processar esses dados conforme instruções documentadas, a Synexus actua como subcontratante quando essa for a configuração acordada. Em descoberta pública, parcerias, campanhas, mensagens e suporte, o papel da Synexus e do negócio depende da finalidade e das decisões efectivas; será definida a matriz de responsabilidades e o acordo aplicável antes de reutilizar dados entre organizações. O consentimento de um administrador não substitui a base legal necessária para dados de clientes.

2. Dados que podemos tratar

• Conta e autenticação: email, identificador técnico da conta, nome de exibição, telefone ou avatar quando fornecidos e dados mínimos recebidos do Google para iniciar sessão.
• Utilização do ecossistema: negócios favoritos, vínculos com negócios, reservas, check-ins, fidelização, eventos, avaliações, preferências, documentos ou registos operacionais disponibilizados pelo negócio.
• Comunicações: pedidos de contacto, conversas, denúncias e bloqueios quando uma função de mensagens estiver activa. Um pedido fica pendente até o destinatário aceitar; o marketing e as ofertas de parceiros usam escolhas separadas.
• Consentimentos: escolhas de cookies, localização, marketing, ofertas de parceiros e canais, com a versão, origem e momento necessários para demonstrar a decisão.
• Organização: dados de perfil, equipa, módulos, faturação e utilização que o negócio ou os seus membros introduzem no backoffice.
• Localização: coordenadas do dispositivo apenas quando o utilizador autoriza uma função que as necessita, como ordenar descoberta, check-in ou uma acção de relógio de ponto; um negócio também pode publicar coordenadas próprias no seu perfil público.

3. Finalidades e bases legais

Tratamos dados necessários para criar e manter uma conta, autenticar, prestar funcionalidades pedidas, guardar reservas e vínculos, responder a pedidos, prevenir abuso e proteger o serviço com base na execução do contrato ou de diligências pré-contratuais. Tratamentos necessários para cumprir uma obrigação legal usam essa obrigação como base. Segurança, diagnóstico e métricas essenciais podem assentar no interesse legítimo, sujeito a ponderação e minimização. Cookies e analíticos opcionais dependem da escolha expressa descrita na Política de Cookies. Localização, marketing, ofertas de parceiros e notificações promocionais dependem de escolhas separadas quando o tratamento as exigir.

Não utilizamos dados de uma finalidade para outra apenas porque estão disponíveis. O tratamento de relatórios de mercado só pode usar estatísticas agregadas, uma inclusão separada da organização, revisão de privacidade e condições de lançamento; não autoriza a venda de leads, perfis, linhas de CRM, mensagens, documentos, facturas, transacções ou dados identificáveis.

4. Fornecedores e transferências

Podemos recorrer a fornecedores que tratam dados por nossa conta ou conforme o seu próprio serviço: Supabase para autenticação, base de dados, armazenamento e funções; Stripe para subscrições e pagamentos; Vercel para alojamento e execução; Resend quando o envio de email estiver configurado; Google para autenticação; a Microsoft (Azure OpenAI, implementação Data Zone Standard na UE) como subcontratante de IA, quando uma função de IA é activada, para processar pedidos limitados; e um fornecedor de analíticos públicos apenas depois de consentimento. Os fornecedores recebem apenas os dados necessários ao fluxo. A localização, subcontratantes, medidas de transferência e prazos efectivos devem constar do registo de fornecedores e dos contratos aplicáveis; não prometemos que todos os processamentos ocorram exclusivamente no EEE.

Subcontratante de IA: Microsoft, através do serviço Azure OpenAI numa implementação Data Zone Standard na UE, a que se aplica a Adenda de Proteção de Dados (DPA) dos Produtos e Serviços da Microsoft. Os pedidos e respostas de IA não são usados para treinar modelos. A Microsoft pode reter pedidos e respostas por um período limitado, dentro da mesma zona geográfica, para deteção de abusos. Cada funcionalidade de IA indica, antes de ser usada, o que é enviado ao fornecedor.

A autenticação Google não pede acesso a Gmail ou Drive. Os pedidos de IA não devem conter dados desnecessários. Os fluxos de inventário e tarefas devolvem propostas para revisão humana; o suporte ao cliente usa informação pública aprovada pelo negócio. Prompts, ficheiros, respostas e mensagens de suporte não são enviados para analíticos públicos nem para o relatório de adopção.

5. Retenção

Conservamos cada categoria apenas pelo tempo necessário à sua finalidade, a uma obrigação legal ou à defesa de direitos. Como regras técnicas actuais: telemetria bruta opcional é purgada após 90 dias; conversas de mensagens e pedidos elegíveis são retidos até 180 dias, com denúncias e bloqueios até 365 dias; sessões e turnos de suporte IA têm retenção de 30 dias; consentimentos permanecem enquanto necessários para demonstrar a escolha; e dados de subscrição e pagamento seguem os prazos contratuais e legais do vendedor e da Stripe. Uma conta ou organização pode ter dados operacionais que outro responsável precisa de conservar. Pedidos de apagamento são avaliados por finalidade e obrigação, sem apagar dados que devam permanecer por lei.

6. Direitos e pedidos

Pode pedir acesso, rectificação, apagamento, limitação, portabilidade ou opor-se a tratamentos baseados em interesse legítimo. Pode retirar um consentimento com a mesma facilidade com que o deu: use “Gerir cookies” para escolhas do navegador e o Centro de Consentimentos para localização, marketing e ofertas. A retirada não afecta o tratamento anterior nem impede retenções legalmente necessárias. Envie o pedido para synex.geral@gmail.com e indique a conta ou negócio relevante; poderemos pedir uma verificação proporcional da identidade. Responderemos, em regra, no prazo de um mês, nos termos do RGPD.

7. Reclamação e menores

Se entender que o tratamento viola os seus direitos, pode contactar-nos primeiro e apresentar queixa à Comissão Nacional de Protecção de Dados (CNPD), autoridade de controlo em Portugal, em cnpd.pt ou geral@cnpd.pt. O serviço não é concebido para recolher deliberadamente dados de crianças. Menores só devem usar funcionalidades com o envolvimento do representante legal quando a lei o exigir; as funcionalidades de IA não devem receber dados de menores sem uma base e configuração adequadas.

8. Synx e histórico de XP

Para gerir o seu companheiro Synx tratamos, na sua conta, as interacções verificadas que dão XP: o negócio, a data e hora, o tipo (check-in, reserva concluída, compra) e, nas compras, o valor registado pelo negócio, usado apenas para calcular o XP. A base legal é a execução do serviço que pediu. O Diário, a Caderneta e o nível são privados: os negócios vêem apenas totais agregados do próprio estabelecimento (por exemplo, quantos clientes ganharam XP ou apanharam o Synx residente), nunca o seu histórico noutros negócios. Estes dados constam da exportação dos seus dados e são apagados com a conta. A escolha semanal de negócios com Synx raros usa apenas contagens agregadas de visitas, sem perfis de clientes.

9. Actualizações

A versão e a data desta política aparecem no topo. Alterações relevantes podem exigir nova aceitação de Termos e Política de Privacidade. A política não é uma certificação de conformidade; descreve o contrato e os controlos publicados para esta versão.

Para apoio, reclamações, pedidos de privacidade ou exercício de direitos: synex.geral@gmail.com.