Política de Privacidade
A sua privacidade é a nossa prioridade. Saiba como tratamos os seus dados pessoais no cumprimento do Regulamento Geral de Proteção de Dados (RGPD) e da legislação portuguesa.
1. Quem Somos e Como Contactar-nos
A iRestaurant é uma plataforma tecnológica operada pela Pixel Creatives, Lda., uma empresa registada em Portugal. Somos responsáveis pelo tratamento dos seus dados pessoais quando utiliza os nossos serviços.
- Entidade: Pixel Creatives, Lda.
- NIF: [INSERIR NIF]
- Sede: [INSERIR MORADA COMPLETA], Portugal
- Email de Privacidade: [email protected]
- DPO (Encarregado de Proteção de Dados): [email protected]
2. Que Dados Pessoais Recolhemos
Recolhemos apenas os dados estritamente necessários para fornecer e melhorar os nossos serviços. Dividimos a recolha em três categorias:
2.1 Dados que nos fornece diretamente
- Registo e autenticação: nome completo, endereço de email, palavra-passe (armazenada com encriptação bcrypt + salt — nunca em texto limpo).
- Perfil de utilizador: fotografia de perfil, número de telefone, cargo/função no restaurante.
- Dados do negócio: nome do restaurante, morada completa, coordenadas GPS, número de telefone público, horário de funcionamento, categorias, fotografias, logótipo, descrição, menu completo com preços, alérgenos e ingredientes.
- Dados de faturação: NIF/NIPC, morada fiscal, email de faturação. Os dados de pagamento (cartão de crédito/débito) são processados exclusivamente pela Stripe — nunca armazenamos, acedemos ou processamos números de cartão de crédito.
- Dados de clientes do seu restaurante: quando utiliza o nosso CRM, pode armazenar dados dos seus clientes (nome, email, telefone, preferências, histórico de reservas). É responsável por obter e gerir o consentimento dos seus clientes para esse tratamento.
- Comunicações: quando nos contacta por email ou formulário, armazenamos o conteúdo da comunicação para fins de suporte e histórico.
2.2 Dados recolhidos automaticamente
- Dados de navegação: endereço IP (anonimizado após 24h), tipo e versão do browser, sistema operativo, resolução do ecrã, idioma do browser, páginas visitadas, tempo de permanência, origem do tráfego (referrer).
- Dados de utilização: funcionalidades utilizadas, frequência de uso, ações realizadas na plataforma, erros encontrados (enviados para o Sentry de forma anonimizada).
- Cookies e tecnologias semelhantes: conforme detalhado na nossa Política de Cookies.
2.3 Dados de terceiros
- Autenticação social: se optar por registar-se através de Google ou Apple, recebemos o seu nome e email da respetiva plataforma, conforme as permissões que nos conceder.
- Integrações: se conectar serviços de terceiros (ex.: TheFork, Google Analytics), recebemos os dados estritamente necessários para a integração funcionar.
3. Finalidades do Tratamento e Bases Legais
Cada tratamento de dados tem uma finalidade específica e uma base legal que o justifica, conforme o artigo 6.º do RGPD:
| Finalidade | Dados Utilizados | Base Legal (RGPD) |
|---|---|---|
| Prestação dos serviços contratados (website, reservas, menu digital, CRM, POS) | Dados de conta, dados do negócio, dados de clientes | Art. 6.1.b — Execução de contrato |
| Comunicações de suporte técnico e operacional | Dados de conta, comunicações | Art. 6.1.b — Execução de contrato |
| Processamento de pagamentos e faturação | Dados de faturação | Art. 6.1.b — Execução de contrato / Art. 6.1.c — Obrigação legal |
| Cumprimento de obrigações fiscais e legais (emissão de faturas, retenção legal) | Dados de faturação, dados de conta | Art. 6.1.c — Obrigação legal |
| Melhoria contínua da plataforma (análise de uso, deteção de erros) | Dados de navegação anonimizados, dados de utilização | Art. 6.1.f — Interesse legítimo |
| Segurança e prevenção de fraudes | Dados de navegação, dados de conta | Art. 6.1.f — Interesse legítimo |
| Marketing e comunicações promocionais (apenas com consentimento) | Email, nome | Art. 6.1.a — Consentimento |
| Cumprimento de ordens judiciais ou regulatórias | Dados relevantes para a ordem | Art. 6.1.c — Obrigação legal |
4. Subcontratantes (Terceiros com Acesso aos Seus Dados)
Para operar a plataforma, recorremos a subcontratantes de confiança que processam dados em nosso nome. Todos assinaram contratos de tratamento de dados (DPA) em conformidade com o RGPD:
| Subcontratante | Serviço | Dados Acedidos | Localização dos Servidores | Garantias |
|---|---|---|---|---|
| Supabase Inc. | Base de dados, autenticação, armazenamento de ficheiros | Todos os dados da plataforma (contas, negócios, reservas, clientes, menus) | Frankfurt, Alemanha (UE) | SCCs + DPA |
| Stripe Inc. | Processamento de pagamentos | Dados de faturação (nunca dados de cartão de crédito) | Global (EUA + UE) | SCCs + DPA + PCI DSS Level 1 |
| Vercel Inc. | Alojamento e entrega da plataforma | Dados de navegação anonimizados, logs de servidor | Global (EUA + UE) | SCCs + DPA + ISO 27001 |
| Functional Software Inc. (Sentry) | Monitorização de erros e performance | Dados de erro anonimizados (nunca dados pessoais identificáveis) | EUA | SCCs + DPA + SOC 2 |
| Google LLC (Google Analytics) | Análise de tráfego (apenas com consentimento) | Dados de navegação anonimizados, endereço IP mascarado | Global (EUA + UE) | SCCs + DPA, IP masking ativado |
| Google LLC (Google Fonts) | Fornecimento de fontes tipográficas | Endereço IP (apenas para entrega de ficheiros) | Global | SCCs |
| Mailgun Technologies Inc. | Envio de emails transacionais e notificações | Email, nome | Global (EUA + UE) | SCCs + DPA |
5. Transferências Internacionais de Dados
Alguns dos nossos subcontratantes estão localizados nos Estados Unidos da América (Stripe, Vercel, Sentry, Google, Mailgun). Para garantir que os seus dados beneficiam de um nível de proteção equivalente ao da União Europeia, implementamos as seguintes salvaguardas:
- Cláusulas Contratuais Tipo (SCCs): Todas as transferências são protegidas pelas SCCs aprovadas pela Comissão Europeia (Decisão de Execução 2021/914).
- Data Processing Agreements (DPAs): Contratos vinculativos que obrigam os subcontratantes a cumprir o RGPD.
- Avaliações de Impacto: Realizamos Transfer Impact Assessments (TIAs) regulares para cada transferência.
- Certificações: Stripe (PCI DSS Level 1), Vercel (ISO 27001), Sentry (SOC 2 Type II).
6. Períodos de Conservação dos Dados
Conservamos os seus dados apenas pelo tempo necessário para cumprir as finalidades para que foram recolhidos:
| Tipo de Dados | Período de Conservação | Justificação |
|---|---|---|
| Dados de conta e perfil | Durante a vigência da conta + 90 dias após cancelamento | Permitir reativação da conta |
| Dados do negócio (menus, fotos, etc.) | Durante a vigência da conta + 30 dias após cancelamento | Período de transição para exportação |
| Dados de faturação e fiscais | 10 anos após a emissão | Obrigação legal (art. 40.º do Código Comercial e art. 123.º do CIRS) |
| Dados de navegação anonimizados | 26 meses (Google Analytics) / 12 meses (logs de servidor) | Melhoria contínua da plataforma |
| Comunicações de suporte | 3 anos após a última interação | Histórico de suporte ao cliente |
| Dados de clientes do CRM | Até o utilizador eliminar ou até 90 dias após cancelamento da conta | Gestão da relação com o cliente |
7. Os Seus Direitos ao Abrigo do RGPD
A lei confere-lhe direitos específicos sobre os seus dados pessoais. Pode exercê-los a qualquer momento contactando-nos:
Para exercer os seus direitos, envie um email para [email protected]
Responderemos no prazo máximo de 30 dias (prorrogável por mais 60 dias em caso de pedidos complexos, conforme artigo 12.3 do RGPD).
| Direito | Descrição | Artigo RGPD |
|---|---|---|
| Acesso | Saber que dados temos sobre si e como são tratados | Art. 15.º |
| Retificação | Corrigir dados inexatos ou incompletos | Art. 16.º |
| Apagamento | Solicitar a eliminação dos seus dados ("direito a ser esquecido") | Art. 17.º |
| Limitação | Restringir o tratamento dos seus dados em determinadas circunstâncias | Art. 18.º |
| Portabilidade | Receber os seus dados num formato estruturado, de uso corrente e de leitura automática (CSV/JSON) | Art. 20.º |
| Oposição | Opor-se ao tratamento para marketing direto ou com base em interesse legítimo | Art. 21.º |
| Não ser sujeito a decisões automatizadas | Não ser sujeito a decisões baseadas exclusivamente em tratamento automatizado | Art. 22.º |
8. Medidas de Segurança
Implementamos um conjunto de medidas técnicas e organizativas para proteger os seus dados contra acessos não autorizados, perda, alteração ou divulgação:
- Criptografia: Todas as comunicações são encriptadas com TLS 1.3 (HTTPS). Dados sensíveis (palavras-passe) são armazenados com bcrypt + salt.
- Controlo de acesso: Sistema de permissões baseado em funções (RBAC) com princípio do privilégio mínimo. Cada colaborador tem acesso apenas ao estritamente necessário.
- Autenticação: Suporte para autenticação de dois fatores (2FA) via email. Sessões expiradas automaticamente após período de inatividade.
- Monitorização: Monitorização contínua de segurança com Sentry para deteção de anomalias e tentativas de acesso não autorizado.
- Backups: Backups automáticos diários com retenção de 30 dias, armazenados em localização separada e encriptados.
- Infraestrutura: Firewall de aplicação web (WAF) na Vercel, proteção DDoS, isolamento de ambientes (desenvolvimento, teste, produção).
- Auditoria: Registos de acesso e alterações (logs de auditoria) mantidos por 12 meses.
- Formação: A nossa equipa recebe formação anual em proteção de dados e segurança da informação.
9. Cookies e Tecnologias Semelhantes
Utilizamos cookies essenciais para o funcionamento da plataforma (autenticação, sessão, preferências de idioma). Estes cookies são estritamente necessários e não requerem consentimento (Lei n.º 41/2004, art. 5.º).
Para cookies analíticos (Google Analytics) e de marketing, solicitamos o seu consentimento expresso através do banner de cookies. Pode aceitar, rejeitar ou personalizar as suas preferências a qualquer momento.
Consulte a nossa Política de Cookies para uma lista completa dos cookies utilizados, respetivas finalidades e prazos de conservação.
10. Direito de Reclamação
Se considerar que o tratamento dos seus dados viola o RGPD, tem o direito de apresentar reclamação à autoridade de controlo competente em Portugal:
Comissão Nacional de Proteção de Dados (CNPD)
Morada: Av. D. Carlos I, 134 — 1.º, 1200-651 Lisboa
Telefone: +351 213 928 400
Website: www.cnpd.pt
11. Alterações a Esta Política
Podemos atualizar esta Política de Privacidade periodicamente para refletir alterações nos nossos serviços, na legislação aplicável ou nas recomendações das autoridades de controlo. As alterações materiais serão comunicadas por email aos utilizadores registados com 30 dias de antecedência. Recomendamos a revisão periódica desta página para se manter informado.
12. Legislação Aplicável
A presente Política de Privacidade é regida e interpretada de acordo com a legislação portuguesa e europeia, nomeadamente:
- Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (RGPD — General Data Protection Regulation)
- Lei n.º 58/2019, de 8 de agosto — Assegura a execução do RGPD na ordem jurídica portuguesa
- Lei n.º 41/2004, de 18 de agosto — Proteção de dados pessoais no setor das comunicações eletrónicas (ePrivacy)
Este documento é fornecido a título informativo e não constitui aconselhamento jurídico. Recomendamos a consulta de um advogado para garantir a conformidade com a legislação aplicável ao seu caso específico.
© 2026 Pixel Creatives, Lda. Todos os direitos reservados.