Política de privacidade

Esta Política explica como a stolia trata dados pessoais na utilização da plataforma, em conformidade com o Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados — "RGPD").

1. Responsável pelo tratamento

O responsável pelo tratamento dos dados é a Stolia shop Lda, NIPC 296011185, com sede na Praceta Ema Reis, 16, Santa Marta do Pinhal, Corroios. Contacto: suporte@stolia.app. A stolia não designou Encarregado de Proteção de Dados (DPO), por não estar obrigada a fazê-lo; as questões de proteção de dados são tratadas por Mac Silva, sócio único, pelo mesmo e-mail.

2. Dados que tratamos

• Registo: nome, e-mail, telemóvel, nome e endereço (slug) da loja, região.
• Utilização da loja: produtos, pedidos e dados de clientes que o utilizador regista para operar a sua loja (o utilizador é o responsável pelo tratamento desses dados de clientes; a stolia atua como subcontratante).
• Pagamento: processado pelo Stripe. A stolia não armazena os dados completos do cartão.
• Técnicos: endereço IP, tipo de dispositivo/navegador e registos de acesso e de erros, para segurança e funcionamento do Serviço.

3. Para que usamos e bases legais

• prestar e manter o Serviço, autenticar o acesso e processar assinaturas — execução de contrato;
• segurança, prevenção a fraude e abuso (ex.: verificação anti-robô no registo/login) — legítimo interesse e cumprimento de obrigação legal;
• comunicações operacionais (confirmação de e-mail, redefinição de senha, avisos do Serviço) — execução de contrato;
• comunicações de marketing, quando houver — consentimento, revogável a qualquer tempo;
• acompanhamento comercial do cadastro (nome, e-mail, telemóvel e nome da loja), tratado no CRM próprio da stolia — legítimo interesse; contacto por WhatsApp sobre o cadastro só ocorre com consentimento: é pedido ao marcar a caixa de verificação opcional no registo. Depois do registo com a caixa marcada, podemos enviar uma mensagem por WhatsApp para confirmar o número; o consentimento só se torna efetivo quando a pessoa responde (ou escreve ao nosso WhatsApp) a partir desse mesmo número — sem resposta, não voltamos a escrever-lhe por WhatsApp. Revogável a qualquer momento respondendo "parar" na própria conversa.

Medição de visitas nas lojas online

Nas lojas online alojadas pela stolia onde a medição de visitas está ligada, a stolia é a responsável por esse tratamento e a política de cada loja descreve-o (secção 13). Base: legítimo interesse. Resumo da avaliação de interesse legítimo (LIA):

• Finalidade: dar à loja e à stolia números de tráfego da loja online — visualizações, visitantes por dia (estimativa), origem do clique, tipo de aparelho, produtos mais vistos e passos até ao pagamento.
• Necessidade: contar visitantes exige algum identificador; usamos o menos persistente que serve — um código que só vale um dia e numa loja, calculado no servidor, sem cookies e sem guardar nada no aparelho.
• Equilíbrio e salvaguardas: o endereço IP e o navegador não são guardados para a medição; a chave do código é apagada no dia seguinte; o código diário é apagado cerca de 4 dias depois (até 14 dias com um pagamento por confirmar; as cópias de segurança guardam-no no máximo 7 dias); as lojas só recebem totais, guardados 200 dias.
• Oposição: o sinal Global Privacy Control do navegador é respeitado em cada visita; pedidos sobre a medição já feita por suporte@stolia.app.

4. Partilha de dados e subcontratantes

Não vendemos dados pessoais. Partilhamos apenas com os subcontratantes necessários à prestação do Serviço, sob obrigações de proteção de dados. Esta é a lista completa:

• Hetzner Online (Alemanha) — alojamento dos servidores e da base de dados;
• Stripe — processamento de pagamentos e assinaturas;
• Resend — envio de e-mails do Serviço (confirmação de conta, encomendas, avisos);
• Cloudflare — DNS e verificação anti-robô (Turnstile) no registo e login;
• Sentry — monitorização de erros da aplicação;
• Grafana Cloud — centralização de registos técnicos de operação;
• PostHog (Cloud EU) — medição de utilização, só com a sua autorização (secção 6);
• Anthropic e OpenAI — leitura assistida de catálogos, quando o utilizador envia um ficheiro ou imagem do seu menu para importar produtos;
• a VPS que hospeda o CRM próprio, o Supabase (base de dados do CRM), o provedor de IA usado pelo CRM para redigir mensagens e o WhatsApp — no acompanhamento comercial do cadastro (item 3 acima).

5. Transferência internacional

Alguns subcontratantes podem tratar dados fora do Espaço Económico Europeu. Nesses casos, adotamos salvaguardas compatíveis com o RGPD, nomeadamente cláusulas contratuais-tipo ou decisões de adequação da Comissão Europeia. Em concreto: Stripe, Resend, Cloudflare, Sentry, Grafana Cloud, Anthropic, OpenAI e WhatsApp podem tratar dados nos Estados Unidos, ao abrigo do quadro de privacidade de dados UE-EUA ou de cláusulas contratuais-tipo; o PostHog guarda os dados na União Europeia. O alojamento principal (Hetzner) fica na União Europeia.

6. Cookies

Usamos cookies essenciais para autenticação e funcionamento do Serviço (ex.: cookie de sessão). Não usamos rastreamento publicitário nem partilhamos dados com redes de anúncios.

A sua escolha. O cookie stolia_consent guarda durante 180 dias se autorizou ou recusou a medição de utilização. É um cookie da stolia (primeira parte), lido por este site e pela aplicação.

Medição de utilização, só com a sua autorização. Se autorizar, medimos páginas vistas, botões selecionados e se cada campo foi preenchido, nunca o conteúdo escrito. Usamos o PostHog Cloud EU, que guarda num cookie da stolia (ph_stolia_public) um identificador aleatório, pseudónimo, durante até 180 dias. Sem a sua autorização este cookie não é criado e nada é medido. O fornecedor pode tratar dados fora do Espaço Económico Europeu, nos termos descritos na secção 5.

Pode recusar ou retirar a autorização a qualquer momento, em «Recusar» no aviso ou em «Alterar escolha» abaixo. Ao retirá-la, o identificador é apagado e a medição para.

7. Segurança

Adotamos medidas técnicas e organizacionais: tráfego criptografado (HTTPS), senhas armazenadas com hash, isolamento de dados entre lojas (multi-tenant) e controle de acesso. Nenhum sistema é 100% imune; trabalhamos continuamente para reduzir riscos.

8. Retenção

Mantemos os dados pelo tempo necessário às finalidades acima e ao cumprimento de obrigações legais. Encerrada a conta, dados pessoais são anonimizados ou eliminados, salvo quando a guarda for exigida por lei. Prazos por tipo de dado:

• Conta e loja: enquanto a conta existir; no encerramento, os dados pessoais do titular são anonimizados.
• Registo por confirmar: o pedido de registo expira em 24 horas; o contacto de quem não concluiu o registo é guardado 90 dias.
• Encomendas das lojas (incluindo a morada de entrega): enquanto a encomenda estiver em curso e, depois, durante o prazo legal de conservação dos documentos fiscais da venda; o NIF pedido para a fatura é apagado 30 dias depois de a encomenda ser entregue ou cancelada.
• Faturação da assinatura: durante o prazo legal de conservação dos documentos fiscais.
• Registos de auditoria de segurança: 90 dias.
• Registos técnicos: 14 dias no Grafana Cloud; erros no Sentry, 90 dias.
• Medição de utilização: o identificador no cookie dura até 180 dias.

Do lado da stolia, a integração com o CRM guarda apenas identificadores internos — nunca nome, telefone ou e-mail. O registo de cada chamada ao CRM é apagado ao fim de 90 dias; o estado da integração de cada loja (em que etapa do acompanhamento está) é mantido enquanto a loja existir, e o resumo de cada execução (só contagens, sem identificar lojas) não expira. O CRM, do lado dele, guarda o conteúdo do cadastro recebido (nome, telefone, e-mail) por até 365 dias, e o seu registo de auditoria guarda cada procura de contacto — incluindo o telefone procurado — por 5 anos.

9. Direitos do titular dos dados (RGPD)

O titular dos dados pode solicitar, a qualquer momento:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, limitação do tratamento ou eliminação de dados desnecessários;
• portabilidade e informação sobre a partilha de dados;
• revogação do consentimento e eliminação dos dados tratados com base nele.

Para exercer os seus direitos, escreva para suporte@stolia.app. Respondemos no prazo de 30 dias. Se os dados forem de uma encomenda feita numa loja, o pedido deve ser dirigido à própria loja, que é a responsável por eles; se o recebermos, encaminhamo-lo. Pode também apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD, www.cnpd.pt).

10. Alterações

Podemos atualizar esta Política. Mudanças relevantes serão comunicadas por meios razoáveis, com atualização da data acima.