Política de privacidade

Esta Política explica como a stolia trata dados pessoais na utilização da plataforma, em conformidade com o Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados — "RGPD").

1. Responsável pelo tratamento

O responsável pelo tratamento dos dados é a Stolia shop Lda, NIPC 296011185, com sede na Praceta Ema Reis, 16, Santa Marta do Pinhal, Corroios. Contacto: suporte@stolia.app. A stolia não designou Encarregado de Proteção de Dados (DPO), por não estar obrigada a fazê-lo; as questões de proteção de dados são tratadas pela gerência, pelo mesmo e-mail.

2. Dados que tratamos

• Registo: nome, e-mail, telemóvel, nome e endereço (slug) da loja, região.
• Utilização da loja: produtos, pedidos e dados de clientes que o utilizador regista para operar a sua loja (o utilizador é o responsável pelo tratamento desses dados de clientes; a stolia atua como subcontratante).
• Pagamento: processado por um prestador de serviços de pagamento. A stolia não armazena os dados completos do cartão.
• Técnicos: endereço IP, tipo de dispositivo/navegador e registos de acesso e de erros, para segurança e funcionamento do Serviço.

3. Para que usamos e bases legais

• prestar e manter o Serviço, autenticar o acesso e processar subscrições — execução de contrato;
• segurança, prevenção de fraude e abuso (ex.: verificação anti-robô no registo/login) — legítimo interesse e cumprimento de obrigação legal;
• comunicações operacionais (confirmação de e-mail, redefinição da palavra-passe, avisos do Serviço) — execução de contrato;
• comunicações de marketing, quando houver — consentimento, revogável a qualquer momento;
• acompanhamento comercial do cadastro (nome, e-mail, telemóvel e nome da loja), tratado no CRM próprio da stolia — legítimo interesse; contacto por WhatsApp sobre o cadastro só ocorre com consentimento: é pedido ao marcar a caixa de verificação opcional no registo. Depois do registo com a caixa marcada, podemos enviar uma mensagem por WhatsApp para confirmar o número; o consentimento só se torna efetivo quando a pessoa responde (ou escreve ao nosso WhatsApp) a partir desse mesmo número — sem resposta, não voltamos a escrever-lhe por WhatsApp. Revogável a qualquer momento respondendo "parar" na própria conversa.

Medição de visitas nas lojas online

Nas lojas online alojadas pela stolia onde a medição de visitas está ligada, a stolia é a responsável por esse tratamento e a política de cada loja descreve-o (secção 13). Base: legítimo interesse. Resumo da avaliação de interesse legítimo (LIA):

• Finalidade: dar à loja e à stolia números de tráfego da loja online — visualizações, visitantes por dia (estimativa), origem do clique, tipo de aparelho, produtos mais vistos e passos até ao pagamento.
• Necessidade: contar visitantes exige algum identificador; usamos o menos persistente que serve — um código que só vale um dia e numa loja, calculado no servidor, sem cookies e sem guardar nada no aparelho.
• Equilíbrio e salvaguardas: não usa cookies; o endereço IP e o navegador não são guardados para a medição; o código diário não permite reconhecer a pessoa de um dia para o outro e é apagado cerca de 4 dias depois da visita (até 14 dias com um pagamento por confirmar; nas cópias de segurança, no máximo mais 7 dias); as lojas só recebem totais, guardados 200 dias.
• Oposição: o sinal Global Privacy Control do navegador é respeitado em cada visita; pedidos sobre a medição já feita por suporte@stolia.app.

4. Partilha de dados e subcontratantes

Não vendemos dados pessoais. Partilhamos apenas com os subcontratantes necessários à prestação do Serviço, sob obrigações de proteção de dados. Recorremos às seguintes categorias de fornecedores:

• alojamento dos servidores e da base de dados (União Europeia);
• processamento de pagamentos e subscrições;
• envio de e-mails do Serviço (confirmação de conta, encomendas, avisos);
• DNS e verificação anti-robô no registo e no login;
• armazenamento das cópias de segurança, cifradas antes de saírem dos nossos servidores (o fornecedor não tem acesso à chave);
• monitorização de erros da aplicação;
• centralização de registos técnicos de operação;
• medição de utilização (dados guardados na União Europeia), só com a sua autorização (secção 6);
• leitura assistida de catálogos por fornecedores de inteligência artificial, quando o utilizador envia um ficheiro ou imagem do seu menu para importar produtos;
• no acompanhamento comercial do cadastro (secção 3): alojamento e base de dados do CRM próprio (União Europeia; a inteligência artificial usada para redigir mensagens é a mesma da leitura de catálogos) e o WhatsApp.

A lista com o nome de cada fornecedor está disponível no painel da stolia para os utilizadores com loja e, para qualquer titular, a pedido em suporte@stolia.app.

5. Transferência internacional

Alguns destes fornecedores tratam dados fora do Espaço Económico Europeu, nomeadamente nos Estados Unidos. Nesses casos, a transferência assenta no quadro de privacidade de dados UE-EUA (decisão de adequação da Comissão Europeia) ou em cláusulas contratuais-tipo. O alojamento principal fica na União Europeia. O fornecedor de medição de utilização guarda os dados na União Europeia, com acesso pontual a partir dos Estados Unidos (por exemplo, para suporte) ao abrigo do quadro de privacidade de dados UE-EUA ou de cláusulas contratuais-tipo. A indicação de que fornecedores tratam dados fora do Espaço Económico Europeu, e com que salvaguarda, pode ser pedida em suporte@stolia.app.

6. Cookies

Usamos cookies essenciais para autenticação e funcionamento do Serviço (ex.: cookie de sessão). Não usamos rastreamento publicitário nem partilhamos dados com redes de anúncios.

A sua escolha. O cookie stolia_consent guarda durante 180 dias se autorizou ou recusou a medição de utilização. É um cookie da stolia (primeira parte), lido por este site e pela aplicação.

Medição de utilização, só com a sua autorização. Se autorizar, medimos páginas vistas, botões selecionados e se cada campo foi preenchido, nunca o conteúdo escrito. Usamos um fornecedor de medição de utilização, que guarda num cookie da stolia (ph_stolia_public) um identificador aleatório, pseudónimo, durante até 180 dias. Sem a sua autorização este cookie não é criado e nada é medido. O fornecedor guarda os dados na União Europeia, com acesso pontual a partir dos Estados Unidos (por exemplo, para suporte) ao abrigo do quadro de privacidade de dados UE-EUA ou de cláusulas contratuais-tipo (secção 5).

Pode recusar ou retirar a autorização a qualquer momento, no aviso de cookies, em «Preferências de cookies» no rodapé ou em «Alterar escolha» abaixo. Ao retirá-la, o identificador é apagado e a medição para.

7. Segurança

Adotamos medidas técnicas e organizativas: tráfego cifrado (HTTPS), palavras-passe guardadas com hash, isolamento de dados entre lojas (multi-tenant) e controlo de acessos. Nenhum sistema é 100% imune; trabalhamos continuamente para reduzir riscos.

8. Retenção

Mantemos os dados pelo tempo necessário às finalidades acima e ao cumprimento de obrigações legais. Encerrada a conta, dados pessoais são anonimizados ou eliminados, salvo quando a guarda for exigida por lei. Prazos por tipo de dado:

• Conta e loja: enquanto a conta existir; no encerramento, os dados pessoais do titular são anonimizados.
• Registo por confirmar: o pedido de registo expira em 24 horas; o contacto de quem não concluiu o registo é guardado 90 dias.
• Encomendas das lojas (incluindo a morada de entrega): enquanto a encomenda estiver em curso e, depois, durante o prazo legal de conservação dos documentos fiscais da venda; o NIF pedido para a fatura é apagado 30 dias depois de a encomenda ser entregue ou cancelada.
• Faturação da subscrição: durante o prazo legal de conservação dos documentos fiscais.
• Registos de auditoria de segurança: 90 dias.
• Registos técnicos: 14 dias; registos de erros: 90 dias.
• Medição de utilização: o identificador no cookie dura até 180 dias.

Do lado da stolia, a integração com o CRM guarda apenas identificadores internos — nunca nome, telefone ou e-mail. O registo de cada chamada ao CRM é apagado ao fim de 90 dias; o estado da integração de cada loja (em que etapa do acompanhamento está) é mantido enquanto a loja existir, e o resumo de cada execução (só contagens, sem identificar lojas) não expira. O CRM, do lado dele, guarda o conteúdo do cadastro recebido (nome, telefone, e-mail) por até 365 dias, e o seu registo de auditoria guarda cada procura de contacto — incluindo o telefone procurado — por 5 anos.

9. Direitos do titular dos dados (RGPD)

O titular dos dados pode solicitar, a qualquer momento:

• confirmação da existência de tratamento e acesso aos dados;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, limitação do tratamento ou eliminação de dados desnecessários;
• portabilidade e informação sobre a partilha de dados;
• revogação do consentimento e eliminação dos dados tratados com base nele.

Para exercer os seus direitos, escreva para suporte@stolia.app. Respondemos no prazo de 30 dias. Se os dados forem de uma encomenda feita numa loja, o pedido deve ser dirigido à própria loja, que é a responsável por eles; se o recebermos, encaminhamo-lo. Pode também apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD, www.cnpd.pt).

10. Alterações

Podemos atualizar esta Política. Mudanças relevantes serão comunicadas por meios razoáveis, com atualização da data acima.