1. Responsável pelo tratamento e legislação
Esta política enquadra o tratamento de dados pessoais associado a BeautyFlow AI no Regulamento (UE) 2016/679 (RGPD), na Lei n.º 58/2019 e, para comunicações eletrónicas e armazenamento no equipamento do utilizador, na Lei n.º 41/2004, na redação em vigor.
Responsável pelo tratamento dos dados da relação com o serviço: Lyntev, NIF 309769728. Para questões de privacidade e exercício de direitos, contacte contacto@lyntev.com. Não envie palavras-passe ou dados sensíveis desnecessários.
Informações por completar: morada do responsável e, se legalmente exigido ou designado, contacto do encarregado da proteção de dados.
2. Responsável e subcontratante
Relativamente à gestão de contas, relação contratual, apoio e segurança do próprio serviço, a entidade prestadora determina as finalidades e os meios do tratamento. Para contactos, mensagens e conteúdos tratados por instrução de uma empresa cliente, esta é, em regra, o responsável pelo tratamento e o prestador é subcontratante.
Se recebeu uma mensagem de uma empresa que utiliza o serviço, deve dirigir o pedido de direitos a essa empresa. O prestador deve colaborar nos termos do contrato e do RGPD. O tratamento por conta de clientes exige um acordo conforme ao artigo 28.º; a sua formalização e a lista de subcontratantes ulteriores estão por confirmar.
3. Categorias e origem dos dados
- Conta e organização: nome, endereço de correio eletrónico, credenciais geridas pelo sistema de autenticação, telefone, dados da empresa e permissões de acesso.
- Conteúdos do cliente: contactos, números de telefone, mensagens, ficheiros, marcações, histórico de serviços, notas de clientes e dados das integrações ativadas.
- Dados técnicos: registos de atividade, erros, autenticação e segurança, e dados de ligação necessários ao funcionamento.
- Relação contratual: plano, estado da subscrição, referências de pagamentos e comunicações de apoio. Os dados exigidos pelo pagamento são tratados pelo prestador identificado nesse momento.
Os dados são fornecidos pelo utilizador, pela organização que gere a conta ou pelas integrações autorizadas. Os contactos podem ter sido recolhidos pelo cliente junto dos próprios titulares; cabe-lhe cumprir o dever de informação, incluindo o artigo 14.º do RGPD quando os dados não sejam obtidos diretamente.
Não introduza categorias especiais de dados, dados de condenações ou informações desnecessárias sem avaliar o fundamento jurídico e as salvaguardas específicas aplicáveis.
4. Finalidades e fundamentos jurídicos
- Prestação do serviço e apoio: execução do contrato ou diligências pré-contratuais, quando o titular seja parte no contrato (artigo 6.º, n.º 1, alínea b)).
- Obrigações legais: cumprimento de obrigações fiscais, contabilísticas ou outras aplicáveis (alínea c)).
- Segurança e gestão de contactos profissionais: interesses legítimos na proteção do serviço, prevenção de abuso e gestão da relação com organizações (alínea f)), sujeitos à avaliação de necessidade e equilíbrio com os direitos dos titulares.
- Finalidades opcionais: consentimento específico, informado e livre quando exigido, incluindo cookies não essenciais e comunicações comerciais nos casos previstos na lei (alínea a)).
O fundamento não é intercambiável: cada operação deve estar associada ao fundamento adequado. Os dados necessários à conta e ao contrato podem ser indispensáveis para prestar o serviço; a recusa de finalidades opcionais não deve impedir o acesso às funcionalidades essenciais.
5. Destinatários, integrações e inteligência artificial
Consoante as funcionalidades utilizadas, podem intervir prestadores de alojamento, autenticação e armazenamento, serviços de mensagens, integrações de calendário, prestadores de IA e entidades de pagamento. Autoridades ou consultores podem receber dados quando exista obrigação ou fundamento legal.
A ativação de integrações e de respostas por IA pode implicar o envio de mensagens e contexto ao serviço externo escolhido. Devem ser partilhados apenas os dados necessários. A lista concreta de entidades, funções, países e condições de tratamento deve ser disponibilizada antes da utilização e está por confirmar; não se presume ausência de utilização para treino ou de conservação por terceiros.
Não utilize resultados de IA para decisões exclusivamente automatizadas com efeitos jurídicos ou significativamente semelhantes sem cumprir o artigo 22.º do RGPD e as garantias aplicáveis, incluindo intervenção humana quando exigida. Esta política não representa uma autorização para esse tipo de decisões.
6. Transferências internacionais
Não se garante que todo o tratamento ocorra no Espaço Económico Europeu. As localizações efetivas e os acessos por prestadores devem ser confirmados. Transferências para países terceiros exigem o cumprimento do capítulo V do RGPD, por exemplo uma decisão de adequação aplicável ou cláusulas contratuais-tipo com avaliação e medidas complementares quando necessárias.
Os países, mecanismos efetivamente utilizados e forma de obter uma cópia das garantias devem ser comunicados aos titulares. Estes elementos estão por confirmar e não são considerados regularizados apenas pela publicação desta política.
7. Prazos de conservação
Os dados devem ser conservados apenas durante o período necessário à finalidade: gestão da conta durante a relação contratual; conteúdos segundo as instruções do cliente e o acordo de tratamento; obrigações fiscais durante o prazo legal aplicável; registos de segurança durante um prazo proporcional ao risco; consentimentos pelo tempo necessário à demonstração da sua validade.
Os prazos concretos, o tratamento de cópias de segurança e o procedimento de eliminação ou devolução após o encerramento estão por confirmar. Não é prometida eliminação imediata quando existam obrigações legais de conservação ou necessidade legítima de defesa de direitos, devidamente limitada.
8. Direitos e apresentação de pedidos
Nos casos e limites previstos no RGPD, pode exercer os direitos de acesso, retificação, apagamento, limitação do tratamento, portabilidade e oposição. Pode retirar o consentimento a qualquer momento, sem afetar a licitude do tratamento anterior, e opor-se em qualquer momento ao marketing direto.
Contacte o responsável identificado ou o apoio, indicando o direito e os dados necessários para localizar a sua conta. A verificação de identidade deve ser proporcional; não envie documentos de identificação sem necessidade. Os pedidos são, em regra, gratuitos.
A resposta deve ser dada sem demora injustificada e no prazo de um mês após a receção. Quando legalmente justificado pela complexidade ou pelo número de pedidos, o prazo pode ser prorrogado por mais dois meses, com informação ao titular dentro do primeiro mês e indicação dos motivos.
Pode apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD) ou à autoridade de controlo competente no seu Estado-Membro, e recorrer aos meios judiciais previstos na lei.
10. Segurança e incidentes
O responsável e os subcontratantes devem adotar medidas técnicas e organizativas adequadas ao risco, limitar acessos e cumprir os deveres de segurança do RGPD. A avaliação dessas medidas e os procedimentos de resposta a incidentes devem ser documentados; não se promete segurança absoluta.
Quando exigido pelo RGPD, uma violação de dados deve ser notificada à autoridade competente sem demora injustificada e, se possível, até 72 horas após conhecimento. Os titulares devem ser informados sem demora injustificada quando exista elevado risco e não se aplique uma exceção legal.
11. Atualizações e documentos relacionados
Alterações relevantes devem ser comunicadas de forma acessível; novas finalidades que exijam consentimento carecem de uma escolha válida antes do tratamento. Consulte também os Termos e Condições e a Política de Cancelamento e Reembolso.