Política de privacidade

1. Responsável pelo tratamento

O responsável pelo tratamento dos dados na aceção do RGPD é:

Univents GmbH

Schillerstraße 10, 74395 Mundelsheim, Alemanha. Representada pelos gerentes Andreas Köckeis e Markus Link. Registo comercial: Amtsgericht Stuttgart, HRB 782148. N.º de identificação para efeitos de IVA: DE 348 933 744.

Para questões relativas à proteção de dados e ao exercício dos seus direitos, o Utilizador pode contactar-nos através da morada acima indicada ou por e-mail para hello@univents.app.

A presente Política de Privacidade abrange o tratamento pelo qual nós próprios somos responsáveis. Na medida em que tratemos dados pessoais por conta dos nossos Clientes (páginas de reserva públicas e portais de cliente), aplica-se adicionalmente a secção 12.

2. Panorâmica dos tratamentos

Tratamos dados pessoais, em especial, para as seguintes finalidades:

• Disponibilização do nosso sítio Web e da aplicação (alojamento, entrega, segurança)
• Análise e medição de audiência para melhoria do nosso sítio Web e do nosso produto
• Publicidade e medição do sucesso publicitário nas nossas páginas de marketing
• Registo, gestão e operação de contas de Utilizador e de workspaces
• Processamento de pagamentos e faturação de serviços pagos
• Comunicação com interessados e Clientes (chat de apoio, e-mail, marcação de reuniões)
• Funcionalidades assistidas por IA no interior da aplicação
• Operação de páginas de reserva públicas e de portais de cliente por conta dos nossos Clientes

As categorias de titulares dos dados são os visitantes do sítio Web, os interessados, os Utilizadores registados e os respetivos membros da equipa, as pessoas de contacto dos nossos Clientes e fornecedores, bem como – no âmbito do tratamento por conta de terceiros – os clientes finais e os convidados dos nossos Clientes.

3. Fundamentos jurídicos

Tratamos dados pessoais com base nos seguintes fundamentos jurídicos do RGPD:

• Consentimento (artigo 6.º, n.º 1, alínea a), do RGPD) – em especial para cookies não necessários, para a análise com reconhecimento de visitantes recorrentes e para serviços de marketing. O consentimento prestado pode ser retirado a qualquer momento, com efeitos para o futuro.
• Execução de um contrato (artigo 6.º, n.º 1, alínea b), do RGPD) – para a disponibilização da conta de Utilizador e dos serviços contratualmente acordados.
• Obrigação jurídica (artigo 6.º, n.º 1, alínea c), do RGPD) – em especial as obrigações de conservação previstas na legislação comercial e fiscal.
• Interesse legítimo (artigo 6.º, n.º 1, alínea f), do RGPD) – designadamente para a segurança, para a medição de audiência sem cookies e com minimização de dados, e para a melhoria do nosso produto.

Registamos no servidor a seleção efetuada através do banner de cookies, como prova do consentimento (artigo 7.º, n.º 1, do RGPD). O consentimento pode ser ajustado ou retirado a qualquer momento através da ligação «Definições de cookies» no rodapé.

4. Alojamento e infraestrutura

A nossa aplicação e o nosso sítio Web são operados numa infraestrutura de nuvem dentro da UE. A base de dados, a autenticação e o armazenamento de ficheiros são disponibilizados pela Supabase (região da UE, Frankfurt); o alojamento e a entrega da aplicação são efetuados através da Vercel (região da UE). A entrega, a proteção contra DDoS e a firewall são asseguradas pela Vercel. A Cloudflare disponibiliza a zona DNS, a proteção contra bots no início de sessão e no registo (Turnstile), bem como o reencaminhamento de e-mails recebidos e de pedidos de renderização de documentos.

O fundamento jurídico é o nosso interesse legítimo num funcionamento seguro e eficiente (artigo 6.º, n.º 1, alínea f), do RGPD), bem como a execução de um contrato (artigo 6.º, n.º 1, alínea b), do RGPD). Existem contratos de subcontratação com todos os prestadores de infraestrutura.

5. Visita ao sítio Web: registos do servidor e cookies

Ficheiros de registo do servidor

Ao aceder ao nosso sítio Web, são automaticamente transmitidas informações para os nossos servidores e armazenadas temporariamente em ficheiros de registo: endereço IP, data e hora do acesso, a página ou o ficheiro acedido, o volume de dados transferido, o URL de referência, bem como informações sobre o navegador e o sistema operativo. Tal é tecnicamente necessário para entregar o sítio Web e para garantir a sua estabilidade e segurança. O fundamento jurídico é o nosso interesse legítimo (artigo 6.º, n.º 1, alínea f), do RGPD).

Cookies e tecnologias semelhantes

Utilizamos cookies e tecnologias comparáveis (p. ex. localStorage). Os cookies necessários são indispensáveis ao funcionamento do sítio Web e da aplicação e são colocados sem consentimento (§ 25, n.º 2, do TTDSG, artigo 6.º, n.º 1, alínea f), do RGPD). Todos os cookies não necessários só são por nós colocados com o consentimento do Utilizador, prestado através do nosso banner de cookies (§ 25, n.º 1, do TTDSG, artigo 6.º, n.º 1, alínea a), do RGPD). O nosso banner distingue três categorias: Necessários, Estatística e Marketing.

Os detalhes sobre os cookies concretamente utilizados, o respetivo prazo de armazenamento e os seus fornecedores constam da nossa Política de Cookies. Aí, bem como através da ligação «Definições de cookies» no rodapé, o Utilizador pode, a qualquer momento, ajustar ou retirar o seu consentimento.

6. Análise e medição de audiência

Medição de audiência e de utilização (PostHog)

Utilizamos o PostHog (alojamento na UE) para a análise estatística da utilização do nosso sítio Web. Antes de um consentimento, não são definidos cookies nem são armazenados dados no seu navegador (localStorage). Na medida em que já antes de um consentimento seja efetuada uma medição de audiência, esta realiza-se exclusivamente numa variante sem cookies, sem identificador de reconhecimento permanente e exclusivamente por sessão na memória de trabalho (entre outros, páginas consultadas, origem aproximada, navegador/dispositivo, endereço IP). A base jurídica é o nosso interesse legítimo numa medição de audiência que minimize os dados (artigo 6.º, n.º 1, alínea f), do RGPD).

Se, através do nosso banner de cookies, der o seu consentimento para a análise, armazenamos adicionalmente cookies ou entradas de localStorage para uma avaliação com reconhecimento de visitantes (duração até 12 meses). A base jurídica é então o seu consentimento (artigo 6.º, n.º 1, alínea a), do RGPD), que pode revogar a qualquer momento com efeitos para o futuro.

Pode opor-se a qualquer momento à medição de audiência sem cookies (artigo 21.º do RGPD), selecionando «Rejeitar» no banner de cookies. Cessamos então imediatamente a recolha. Os dados são tratados dentro da UE.

Gravações de sessões na área com sessão iniciada (PostHog Session Replay)

Na área com sessão iniciada da aplicação, utilizamos o PostHog Session Replay (alojamento na UE) para reconstituir visualmente sessões individuais de utilização. São gravadas exclusivamente sessões durante o onboarding de configuração, bem como sessões de contas que ainda não tenham enviado um primeiro orçamento nem uma primeira fatura – não a utilização corrente por Clientes existentes ativos. São captadas interações como movimentos do rato, cliques, comportamento de deslocamento (scroll) e os conteúdos de página apresentados; as introduções em campos de formulário são, por defeito, mascaradas e não são legíveis na gravação. Nas páginas de reserva públicas, a gravação só ocorre com consentimento.

A finalidade da gravação é a melhoria da entrada no produto: analisamos em que pontos novos Utilizadores encontram obstáculos na configuração e na criação do seu primeiro orçamento ou da sua primeira fatura. A base jurídica é o nosso interesse legítimo na análise e na melhoria do nosso produto (artigo 6.º, n.º 1, alínea f), do RGPD). As gravações são tratadas dentro da UE e eliminadas automaticamente após 30 dias.

Pode opor-se à gravação a qualquer momento com efeitos para o futuro (artigo 21.º do RGPD), informando-nos através do contacto indicado no aviso legal. As gravações já efetuadas são por nós eliminadas antecipadamente a pedido.

7. Publicidade e medição de conversões

Nas nossas páginas de marketing públicas, utilizamos o Google Consent Mode v2. Já antes de um consentimento, a biblioteca de etiquetas da Google (Google tag) é carregada com a predefinição «consentimento recusado» (denied). Neste estado, não são definidos cookies nem são transmitidos à Google identificadores diretamente pessoais; são transmitidos apenas sinais agregados e sem cookies (os denominados consent pings, sem reconhecimento permanente), para que a Google possa modelar estatisticamente a eficácia da nossa publicidade. A base jurídica é o nosso interesse legítimo numa medição do sucesso publicitário que minimize os dados (artigo 6.º, n.º 1, alínea f), do RGPD).

Se, através do nosso banner de cookies, der o seu consentimento para marketing, ativamos adicionalmente o rastreamento de conversões baseado em cookies do Google Ads, bem como o Meta Pixel, o LinkedIn Insight Tag e o pixel ChatGPT Ads da OpenAI; estes só são carregados após o seu consentimento. Adicionalmente, medimos conversões do lado do servidor (Meta Conversions API, Google Ads, OpenAI Conversions API) – igualmente apenas após o seu consentimento para marketing. São transmitidos o respetivo evento (por exemplo, registo, marcação de demonstração, subscrição de uma assinatura), o identificador de clique ou de navegador do anúncio, bem como uma versão do seu endereço de correio eletrónico com hash criptográfico (SHA-256), nunca o texto em claro. A base jurídica é então o seu consentimento (artigo 6.º, n.º 1, alínea a), do RGPD), que pode revogar a qualquer momento com efeitos para o futuro; após uma revogação, não transmitimos mais eventos.

Para a atribuição de campanhas de marketing, definimos ainda, após o seu consentimento para marketing, dois cookies próprios (first-party), cada um com duração de 12 meses: «attribution_id», como identificador pseudonimizado, e «campaign_attribution», com os identificadores de campanha do endereço através do qual chegou até nós (por exemplo, utm_source, utm_campaign, ID de clique do anúncio). Ambos nunca são definidos nas páginas de reserva públicas dos nossos Clientes e são eliminados em caso de rejeição ou revogação.

Pode opor-se a qualquer momento à medição do sucesso publicitário sem cookies (artigo 21.º do RGPD), selecionando «Rejeitar» no banner de cookies; cessamos então imediatamente a transmissão à Google. A Meta, o LinkedIn e a OpenAI nem sequer são carregados sem o seu consentimento. Utilizamos estes serviços de marketing exclusivamente nas nossas páginas de marketing públicas – nunca na aplicação com sessão iniciada, nas páginas de reserva públicas ou nos portais de clientes.

Os destinatários são a Google Ireland Ltd. ou a Google LLC, a Meta Platforms Ireland Ltd., a LinkedIn Ireland U.C. e a OpenAI Ireland Ltd. ou a OpenAI, L.L.C. Tal pode implicar uma transferência para os EUA; esta é protegida por garantias adequadas (cláusulas contratuais-tipo da UE ou decisão de adequação relativa ao Quadro de Proteção de Dados UE-EUA (EU-US Data Privacy Framework)).

Correspondência de públicos (Custom Audiences / Customer Match): Caso exista fundamento jurídico, transmitimos uma versão criptograficamente codificada por hash (SHA-256) do endereço de e-mail indicado pelo Utilizador no registo à Meta Platforms Ireland Ltd. e à Google Ireland Ltd., a fim de o incluir nessas plataformas em públicos-alvo publicitários delimitados, de o excluir de determinada publicidade ou de criar públicos-alvo estatisticamente semelhantes. O texto simples do endereço de e-mail não é transmitido; a correspondência é efetuada exclusivamente através do valor de hash, o qual, em caso de inexistência de correspondência, é eliminado após a comparação. Os endereços de e-mail que obtemos através de uma ligação a uma conta Google (Gmail) nunca são por nós utilizados para este efeito. O fundamento jurídico é o nosso interesse legítimo na publicidade direta eficiente junto dos nossos clientes existentes (artigo 6.º, n.º 1, alínea f), do RGPD).

O Utilizador pode opor-se a qualquer momento, com efeitos para o futuro, a esta correspondência de públicos (artigo 21.º do RGPD), através do endereço de contacto indicado no aviso legal; nesse caso, removemos o respetivo endereço dos públicos em causa.

8. Registo e conta de Cliente

A utilização da aplicação requer uma conta de Utilizador. No registo, tratamos os dados indicados pelo Utilizador, em especial nome, endereço de e-mail, palavra-passe (armazenada exclusivamente de forma cifrada), bem como informações sobre a respetiva empresa ou workspace (p. ex., denominação social, morada, número de identificação para efeitos de IVA). A autenticação é efetuada através da Supabase (UE).

Em alternativa, é possível iniciar sessão através de single sign-on com uma conta Google ou Microsoft. Neste caso, recebemos do fornecedor selecionado os dados de perfil necessários à criação da conta (em especial nome e endereço de e-mail).

No âmbito de um workspace de equipa, tratamos adicionalmente os conteúdos introduzidos pelo Utilizador e pelos membros da sua equipa (p. ex., contactos, eventos, orçamentos, faturas). O fundamento jurídico é a execução do contrato (artigo 6.º, n.º 1, alínea b), do RGPD), bem como o nosso interesse legítimo num funcionamento seguro (artigo 6.º, n.º 1, alínea f), do RGPD).

9. Processamento de pagamentos

Para subscrições pagas, utilizamos o prestador de serviços de pagamento Stripe (Stripe Payments Europe, Ltd., Irlanda). Em caso de pagamento, a Stripe trata os dados de pagamento e de faturação do Utilizador; os dados completos do meio de pagamento (p. ex., número do cartão) são tratados exclusivamente pela Stripe e não nos são transmitidos em texto simples. O fundamento jurídico é a execução do contrato (artigo 6.º, n.º 1, alínea b), do RGPD), bem como o cumprimento de obrigações fiscais e comerciais (artigo 6.º, n.º 1, alínea c), do RGPD). Em caso de transferência para a Stripe, Inc. (EUA), aplicam-se as cláusulas contratuais-tipo da UE.

10. Comunicação

Chat de suporte (PostHog)

Oferecemos um chat de suporte através da PostHog; os dados são tratados em servidores na UE (Alemanha). No nosso website, o botão do chat só surge depois de o Utilizador ter dado o seu consentimento aos cookies de estatística, e o próprio chat só é carregado quando o Utilizador clica nele. Na aplicação com sessão iniciada não existe banner de cookies; aí, o chat também só é iniciado quando o Utilizador o abre ativamente. Se, em vez disso, o Utilizador escrever para support@univents.app, o seu e-mail é integrado na mesma caixa de correio de suporte. O fundamento jurídico é, neste âmbito, a execução do contrato ou o nosso interesse legítimo na prestação de suporte (artigo 6.º, n.º 1, alíneas b) e f), do RGPD). São tratadas as mensagens do Utilizador, bem como dados de contacto e de utilização, para responder aos seus pedidos.

Comunicação por e-mail e e-mails transacionais (Resend)

Enviamos e-mails de sistema transacionais (p. ex., notificações, convites, reposição de palavra-passe) através da Resend. Se o Utilizador nos contactar por e-mail, tratamos os dados por si comunicados para efeitos de tratamento do seu pedido. O fundamento jurídico é a execução do contrato ou o nosso interesse legítimo na comunicação (artigo 6.º, n.º 1, alíneas b) e f), do RGPD).

Newsletter e atualizações do produto

No nosso website, é possível subscrever a nossa newsletter. Para o efeito, utilizamos o procedimento de double opt-in: após a subscrição, enviamos um e-mail de confirmação para o endereço indicado; só depois de o Utilizador confirmar a ligação nele contida o inscrevemos na lista de distribuição. Para comprovar o consentimento nos termos do artigo 7.º, n.º 1, do RGPD, registamos, no caso de subscrição através do formulário do website, a data e hora, o endereço IP do Utilizador, o identificador do browser (User-Agent) e a versão do texto de consentimento a que o Utilizador deu o seu acordo. Se a subscrição ocorrer, em vez disso, no registo de uma conta Univents, através da respetiva caixa de seleção, a confirmação do endereço de e-mail, de qualquer modo necessária, serve de comprovativo; neste caso, não armazenamos o endereço IP nem o User-Agent. O fundamento jurídico é o consentimento do Utilizador (artigo 6.º, n.º 1, alínea a), do RGPD).

Para melhorar a newsletter, medimos quais as ligações clicadas numa edição. Não utilizamos qualquer pixel de contagem para medir as aberturas. O consentimento pode ser revogado a qualquer momento, com efeitos para o futuro — através da ligação de cancelamento da subscrição no final de cada e-mail da newsletter ou, sem qualquer formalidade, para hello@univents.app. Após uma revogação, conservamos o endereço de e-mail do Utilizador numa lista de bloqueio, a fim de que não receba mais newsletters; os comprovativos do consentimento e da revogação são conservados durante o prazo de prescrição e eliminados posteriormente.

Se for Cliente da Univents, informamo-lo igualmente por e-mail sobre novidades relativas às funcionalidades por si utilizadas. A base jurídica para o efeito é o § 7, n.º 3, da UWG (Lei alemã contra a Concorrência Desleal), em conjugação com o nosso interesse legítimo em informar sobre serviços próprios semelhantes (artigo 6.º, n.º 1, alínea f), do RGPD). Pode opor-se a esta utilização a qualquer momento, sem que daí resultem outros custos além dos custos de transmissão segundo as tarifas de base; cada um destes e-mails contém uma indicação nesse sentido, bem como uma ligação de cancelamento da subscrição.

O envio e a gestão da lista de distribuição são efetuados através da Resend (ver secção 13). O seu endereço de e-mail e o estado da sua subscrição são aí tratados por nossa conta.

Marcação de reuniões de demonstração (Calendly)

Na nossa página de demonstração (/demo), integramos um calendário de marcação de reuniões da Calendly (Calendly LLC, EUA), que é carregado quando esta página é aberta. Nas restantes páginas, a Calendly não é carregada. Se marcar uma reunião, tratamos os dados aí indicados (nome, e-mail, eventualmente empresa e as suas respostas às perguntas da marcação) para preparar e realizar a reunião; no seu planeador de reuniões, a Calendly define cookies próprios, que são necessários para a realização da marcação. Ocultamos o aviso de cookies autónomo da Calendly no interior do planeador, porque divulgamos a utilização aqui e na nossa política de cookies. Após uma marcação, consultamos, através da interface da Calendly, o endereço de e-mail por si indicado, a fim de associar a reunião ao nosso sistema de vendas. A Calendly pode transferir dados para os EUA; o fundamento é um contrato de subcontratação e as cláusulas contratuais-tipo da Comissão Europeia. A base jurídica é a fase pré-contratual ou a execução de um contrato, bem como o nosso interesse legítimo numa organização eficiente de reuniões (artigo 6.º, n.º 1, alíneas b) e f), do RGPD).

CRM (Close)

Utilizamos a Close (Elastic Inc., EUA) como CRM para a gestão de contactos de potenciais clientes e de Clientes. No nosso sítio Web não está integrado qualquer conteúdo da Close. A Close pode transferir dados para os EUA; o fundamento é um contrato de subcontratação e as cláusulas contratuais-tipo da Comissão Europeia. A base jurídica é o nosso interesse legítimo numa comunicação eficiente ou a fase pré-contratual e a execução de um contrato (artigo 6.º, n.º 1, alíneas f) e b), do RGPD).

As ligações nos nossos e-mails comerciais dirigidos a empresas contêm um identificador curto, que derivamos do seu endereço de e-mail. Se aceder, através de uma dessas ligações, a uma página em univents.app, guardamos o identificador, a página acedida, a hora e a indicação de se o acesso proveio de um navegador ou de um verificador automático de ligações. Para o efeito, não definimos cookies e não guardamos nem o seu endereço IP nem o identificador completo do seu navegador. Se aceder às nossas páginas várias vezes em momentos diferentes, registamos esse facto como interesse no nosso CRM (Close), para podermos contactá-lo de forma direcionada. A base jurídica é o nosso interesse legítimo na iniciação de relações comerciais (artigo 6.º, n.º 1, alínea f), do RGPD). Eliminamos os registos dos acessos após 90 dias. Pode opor-se a esta avaliação a qualquer momento (artigo 21.º do RGPD), sem formalidades, através de hello@univents.app.

Caixas de correio eletrónico e calendários ligados (Nylas)

Se ligar na aplicação uma caixa de correio eletrónico ou um calendário próprios, sincronizamos, através da Nylas (centro de dados na UE), e-mails, dados de calendário e dados de contactos, a fim de disponibilizar as funcionalidades por si ativadas (caixa de entrada, sincronização de calendário). Pode desligar a ligação a qualquer momento.

Google API Services – Utilização limitada (Limited Use)

Se ligar uma conta Google (Gmail, Google Calendar ou Google Contacts) à Univents, acedemos aos seus dados exclusivamente para disponibilizar as funcionalidades por si ativadas: apresentar e enviar e-mails, sincronizar o calendário e sincronizar os contactos. Nunca vendemos estes dados, nunca os utilizamos para publicidade e nunca os utilizamos para treinar modelos de IA/ML generalistas. O acesso é concedido por conta ligada e pode ser desligado a qualquer momento – com isso, o nosso acesso é revogado e os dados espelhados são eliminados.

Univents’ use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

11. Funcionalidades de IA

Para as funcionalidades de IA (assistente de conversação, assistente de integração (onboarding), base de conhecimento, bem como assistente de IA no portal de colaboradores e no portal do cliente), os conteúdos por si introduzidos, bem como os dados do espaço de trabalho (workspace) correspondentes, são transmitidos aos nossos fornecedores de IA. A geração das respostas é efetuada através da Anthropic (Claude); a OpenAI é utilizada por nós exclusivamente para a criação de text embeddings para a pesquisa semântica, e não para a geração de respostas. Para garantia de qualidade e análise de sentimento (sentiment), os conteúdos das conversas de chat e de integração (onboarding) são, além disso, transmitidos à PostHog. Estes conteúdos podem conter dados pessoais.

O assistente de IA no portal de colaboradores e no portal do cliente é utilizado não só por Utilizadores do backoffice, mas também por colaboradores, bem como por clientes dos nossos Clientes. Aí são tratados a pergunta formulada e exclusivamente os documentos que o respetivo Cliente tenha previamente disponibilizado a esse grupo. Este tratamento é efetuado por conta e segundo as instruções do nosso Cliente (ver secção 12, artigo 28.º do RGPD); o responsável pelo tratamento, em matéria de proteção de dados, é o Cliente que disponibiliza os documentos. Não guardamos de forma permanente as perguntas e respostas provenientes destes dois portais, e o seu conteúdo não é transmitido à PostHog para análise de sentimento.

Utilizamos estes conteúdos exclusivamente para a disponibilização e o aperfeiçoamento das funcionalidades. A utilização para o treino de modelos de IA generalistas por parte dos nossos fornecedores está contratualmente excluída, nos termos dos contratos de subcontratação celebrados com os mesmos. O fundamento jurídico é a execução do contrato ou o nosso interesse legítimo na disponibilização de funcionalidades inteligentes (artigo 6.º, n.º 1, alíneas b) e f), do RGPD).

12. Páginas públicas de reservas e portais de clientes (subcontratação)

Através da Univents, os nossos Clientes (organizadores, empresas de catering, locais para eventos) operam páginas públicas de reservas (designadamente em /book, bem como através de incorporação por iframe em /embed) e portais de clientes (EventHub). Os dados de reserva, de contacto e de convidados aí introduzidos são por nós tratados exclusivamente por conta e segundo as instruções do respetivo Cliente. Relativamente a estes dados, o Cliente é o responsável pelo tratamento nos termos da legislação de proteção de dados; a Univents é subcontratante (artigo 28.º do RGPD).

Aplica-se o nosso Contrato de Subcontratação (AVV).

Nestas páginas não utilizamos serviços de marketing nem de publicidade. O nosso próprio tratamento limita-se a uma medição de audiência anónima e sem cookies; uma estatística com reconhecimento de visitantes (PostHog) e uma análise de sentimento só são efetuadas com o seu consentimento. O cookie de atribuição (secção 7) nunca é definido nestas páginas.

Se um Cliente integrar na sua página de reservas ferramentas próprias (p. ex., um Google Tag Manager próprio), é ele próprio responsável por esse tratamento. Para o exercício dos seus direitos de titular dos dados relativamente a esses dados, queira dirigir-se ao respetivo Cliente, enquanto responsável pelo tratamento.

13. Destinatários e subcontratantes

Para a prestação dos nossos serviços, transmitimos dados pessoais a prestadores de serviços cuidadosamente selecionados, que atuam como subcontratantes (artigo 28.º do RGPD) exclusivamente segundo as nossas instruções. Com todos eles existem contratos de subcontratação. O quadro seguinte indica os fornecedores utilizados, a finalidade, o local de tratamento e – em caso de transferências para países terceiros – o respetivo fundamento de transferência.

14. Transferências para países terceiros

Alguns dos fornecedores referidos tratam dados fora da UE ou do EEE, em especial nos EUA. Tal transferência para países terceiros só ocorre com base em garantias adequadas na aceção dos artigos 44.º e seguintes do RGPD: cláusulas contratuais-tipo da UE (SCC) e – na medida em que o respetivo fornecedor esteja certificado (p. ex., Google, Meta, LinkedIn) – com base na decisão de adequação relativa ao Quadro de Proteção de Dados UE-EUA (EU-US Data Privacy Framework). Sempre que necessário, adotamos medidas de proteção adicionais, como a cifragem. Os locais de tratamento concretos constam do quadro na secção 13.

15. Prazo de conservação

Conservamos dados pessoais apenas pelo tempo necessário para as respetivas finalidades ou imposto por obrigações legais de conservação:

• Dados da conta: durante a vigência da relação contratual; após a rescisão, eliminação, salvo se obrigações de conservação a tal se opuserem.
• Faturas e documentos contabilísticos: 10 anos (§ 147 AO, § 257 HGB).
• Ficheiros de registo do servidor: apenas por curto período, seguindo-se eliminação ou anonimização automática.
• Gravações de sessões (PostHog Session Replay): eliminação automática após 30 dias.
• Dados de eventos de análise pseudonimizados (PostHog): até 84 meses.
• Comprovativos de consentimento: durante o período em que subsista o interesse na prova.
• Conteúdos de IA junto dos nossos fornecedores de IA: de acordo com os respetivos contratos de subcontratação, apenas por curto período (em regra, no máximo 30 dias) para deteção de abusos, sem treino.

16. Os seus direitos

Nos termos do RGPD, tem os seguintes direitos:

• Acesso aos dados armazenados a seu respeito (artigo 15.º do RGPD)
• Retificação de dados inexatos (artigo 16.º do RGPD)
• Apagamento (artigo 17.º do RGPD)
• Limitação do tratamento (artigo 18.º do RGPD)
• Portabilidade dos dados (artigo 20.º do RGPD)
• Oposição a tratamentos baseados em interesse legítimo (artigo 21.º do RGPD)

O consentimento prestado pode ser retirado a qualquer momento, com efeitos para o futuro, sem que seja afetada a licitude do tratamento efetuado até essa altura – no caso de cookies e rastreamento, através da ligação «Definições de cookies» no rodapé; nos restantes casos, por mensagem dirigida a nós.

Para o exercício dos seus direitos basta uma mensagem informal para hello@univents.app. Se os dados disserem respeito a uma página de reservas ou a um portal de clientes operado através da Univents, queira dirigir-se ao respetivo Cliente, enquanto responsável pelo tratamento (ver secção 12).

Direito de reclamação: tem o direito de apresentar reclamação junto de uma autoridade de controlo da proteção de dados, em especial junto da autoridade competente para nós: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

17. Obrigação de disponibilização de dados

Na medida em que seja necessário para a celebração do contrato ou a criação da conta, é obrigatória a disponibilização de determinados dados (p. ex., nome, endereço de e-mail, dados de faturação). Sem esses dados, não podemos disponibilizar a aplicação. Todas as indicações adicionais são facultativas.

18. Alterações à presente Política de Privacidade

Adaptamos a presente Política de Privacidade quando se alterem a situação jurídica ou os nossos tratamentos. Aplica-se a versão publicada nesta página em cada momento.