Política de privacidade

Rascunho: rascunho escrito a partir do funcionamento real do site, para validação jurídica. A tracejado, os dados da Sara e o que falta decidir.

Quem é responsável pelos teus dados

A responsável pelo tratamento dos teus dados pessoais (a «controladora», na LGPD) é:

• Nome: [Nome completo da Sara Torres], que trabalha com a marca Miss Chia;
• NIF: [Número de identificação fiscal];
• Morada profissional: [Morada];
• Email para questões de privacidade: [sara.torres@misschia.pt, ou outro endereço só para privacidade].

A validar: se a atividade é exercida em nome individual ou por uma sociedade (e, nesse caso, a denominação, o NIPC e a sede). Se é preciso nomear um encarregado de proteção de dados (RGPD, art. 37.º) e, para o Brasil, um encarregado ou só um canal de comunicação (LGPD, art. 41.º, e o regulamento da ANPD para agentes de pequeno porte).

Que dados recolho, e quando

Só recolho dados quando me escreves ou pedes alguma coisa. Ver o site não te pede dados.

• Pedido de conversa gratuita ou de sessão (incluindo o que chega do diagnóstico e do «Como está a tua casa?»): o nome, o WhatsApp (e o país do número), o que procuras, o objetivo (opcional), como me conheceste (opcional), o programa e a opção escolhidos e, se vieres do diagnóstico, o resultado.
• Inscrição numa edição do RESET: o nome, o WhatsApp e a edição.
• Pedido de proposta das Empresas: o nome da empresa, o teu nome, o email, o número de pessoas, o formato e a data pretendida.
• Formulário de contacto (imprensa, parcerias e marcas): o nome, o email, o assunto e a mensagem.
• Resultado do diagnóstico por email: o email e o resultado (o estado de cada divisão da casa e o caminho recomendado).
• Newsletter e guia gratuito, e o aviso da próxima edição do RESET: o email, e a confirmação que dás no email que te envio.
• Em todos os pedidos: a origem da visita (por exemplo, «Instagram, story»), a página por onde entraste no site e a data do pedido. Se aceitares as estatísticas, também a data da primeira visita e os dias até ao pedido (ver a política de cookies).
• Quando me escreves pelo WhatsApp: o teu número e a conversa, no WhatsApp.

Para proteger os formulários de envios automáticos, a Cloudflare (Turnstile) analisa sinais técnicos do navegador quando começas a preencher um formulário. O servidor do site recebe, como qualquer servidor, o endereço IP e os dados técnicos do pedido.

Para que uso os dados, e com que fundamento

As finalidades e os fundamentos legais

Para quê	Fundamento (RGPD)	Fundamento (LGPD)
Responder ao teu pedido de conversa, de sessão ou de inscrição, e combinar contigo pelo WhatsApp	Diligências pré-contratuais a teu pedido e execução do contrato (art. 6.º, n.º 1, b)	Procedimentos preliminares e execução de contrato (art. 7.º, V)
Responder a um pedido de proposta ou a uma mensagem de contacto	Diligências pré-contratuais e interesse legítimo em responder (art. 6.º, n.º 1, b e f)	Procedimentos preliminares e legítimo interesse (art. 7.º, V e IX)
Enviar-te o resultado do diagnóstico	O teu pedido (art. 6.º, n.º 1, b)	Art. 7.º, V
Enviar-te a newsletter, o guia e o aviso do RESET	Consentimento, com dupla confirmação (art. 6.º, n.º 1, a)	Consentimento (art. 7.º, I)
Saber de onde vêm os pedidos (a origem da visita, sem cookies)	Interesse legítimo (art. 6.º, n.º 1, f)	Legítimo interesse (art. 7.º, IX)
Estatísticas do Google Analytics e medição da Meta	Consentimento (art. 6.º, n.º 1, a, e Lei n.º 41/2004, art. 5.º)	Consentimento (art. 7.º, I)
Proteger o site e os formulários	Interesse legítimo (art. 6.º, n.º 1, f)	Legítimo interesse (art. 7.º, IX)
Faturar e cumprir obrigações fiscais, depois de contratares	Obrigação legal (art. 6.º, n.º 1, c)	Cumprimento de obrigação legal (art. 7.º, II)

A validar: os fundamentos de cada finalidade, e a ponderação do interesse legítimo.

Dados sobre a tua saúde

O site não pede dados de saúde. Mas o que escreves no objetivo, o resultado do diagnóstico (por exemplo, o descanso a «precisar de obra») ou o que me contas na conversa podem dizer alguma coisa sobre a tua saúde ou o teu bem-estar. Uso essa informação só para te responder e preparar o acompanhamento.

A validar: se estes dados são dados de saúde (RGPD, art. 9.º; LGPD, art. 11.º) e, se forem, o fundamento (por exemplo, o consentimento explícito, com uma caixa própria nos formulários) e se continuam a seguir para o Brevo (os campos «objetivo» e «o que procura» vão para a ficha do contacto).

O que não faço

• Não vendo nem cedo os teus dados.
• Não tomo decisões automáticas sobre ti. O diagnóstico calcula uma sugestão no teu navegador: as respostas só me chegam se pedires o resultado por email ou se o levares para um pedido.
• Não envio a newsletter a quem não a pediu e confirmou.

Quem recebe os dados

Para o site funcionar, uso estes serviços, que tratam os dados por minha conta (subcontratantes, ou «operadores», na LGPD):

• Brevo (Sendinblue SAS, França): envia os emails (as fichas dos pedidos, o resultado do diagnóstico, a dupla confirmação e a newsletter) e guarda a lista de contactos.
• Cloudflare (Cloudflare, Inc., Estados Unidos): aloja o site e o servidor que recebe os formulários, conta as visitas sem cookies (Web Analytics) e protege os formulários (Turnstile).
• Google (Google Ireland Ltd.): o Google Analytics, só se aceitares as estatísticas.
• Meta (Meta Platforms Ireland Ltd.): o pixel da Meta, só se aceitares a publicidade; e o WhatsApp, quando decides enviar a mensagem. A conversa no WhatsApp segue as regras do WhatsApp.
• Hotmart: quando compras um e-book, a compra é feita na Hotmart, que trata os teus dados como responsável, segundo a política dela.
• [Contabilista ou gabinete de contabilidade, para a faturação, se existir]

A validar: os contratos de subcontratação (DPA) de cada serviço e as entidades exatas, na conta da Sara.

Transferências para fora da União Europeia

Alguns destes serviços (a Cloudflare, a Google e a Meta) podem tratar dados nos Estados Unidos. Essas transferências fazem-se com as garantias previstas na lei: o Quadro de Privacidade de Dados UE-EUA, quando a empresa está certificada, e as cláusulas contratuais-tipo da Comissão Europeia.

Se vives no Brasil, os teus dados são tratados em Portugal (União Europeia) e pelos serviços acima.

A validar: as garantias de cada transferência (RGPD, art. 44.º e seguintes; LGPD, art. 33.º).

Durante quanto tempo guardo os dados

A decidir pela Sara, com quem valida. Uma proposta: os pedidos a que não se seguiu nenhum serviço, 24 meses depois do último contacto; os dados de clientes, enquanto durar o acompanhamento e depois o prazo das obrigações fiscais (10 anos, para a faturação); a newsletter e o aviso do RESET, até cancelares; as mensagens de contacto, 24 meses.

Quando o prazo acaba, apago os dados ou torno-os anónimos.

O que fica no teu navegador

O site guarda no teu navegador a tua escolha sobre os cookies e, só até o pedido seguir, o resultado que levas do diagnóstico para o pedido. Com as estatísticas aceites, guarda também a origem e a data da primeira visita. Está tudo explicado na política de cookies.

Os teus direitos

Podes, a qualquer momento:

• saber se trato dados teus e ter acesso a eles;
• corrigir dados incompletos, inexatos ou desatualizados;
• pedir que os apague, ou que limite o que faço com eles;
• receber os teus dados num formato que possas levar para outro lado (portabilidade);
• opor-te ao tratamento baseado no interesse legítimo;
• retirar o consentimento, sem afetar o que foi feito antes (a newsletter tem uma ligação para cancelar em cada email; os cookies mudam-se nas preferências);
• no Brasil, também: saber com quem partilho os teus dados, pedir a anonimização ou o bloqueio de dados desnecessários, e saber o que acontece se não deres o consentimento (LGPD, art. 18.º).

Para exercer os teus direitos, escreve para [email de privacidade]. Respondo no prazo de um mês (RGPD) e, para pedidos ao abrigo da LGPD, no prazo que ela fixa.

A validar: os prazos de resposta (RGPD, art. 12.º; LGPD, art. 19.º) e como se confirma a identidade de quem pede.

Reclamações

Se achares que os teus dados não foram bem tratados, fala comigo primeiro. Tens também o direito de apresentar uma reclamação:

• em Portugal, na CNPD, a Comissão Nacional de Proteção de Dados (cnpd.pt);
• no Brasil, na ANPD, a Autoridade Nacional de Proteção de Dados (gov.br/anpd).

Menores

Os serviços são para adultos. Não recolho de propósito dados de menores de 16 anos.

A validar: a idade (em Portugal, o consentimento para serviços da sociedade da informação vale a partir dos 13 anos, Lei n.º 58/2019, art. 16.º) e se algum serviço se pode contratar para menores, com os pais.

Segurança

O site usa ligações cifradas (HTTPS). Os formulários enviam os dados no corpo do pedido, nunca no endereço da página, e o servidor só aceita pedidos do próprio site. O acesso às contas dos serviços acima é só meu e de quem me ajuda com o site.

A validar: as medidas a descrever (por exemplo, a autenticação em dois passos em todas as contas, a ligar no lançamento), e o que fazer em caso de violação de dados (RGPD, art. 33.º e 34.º; LGPD, art. 48.º).

Alterações a esta política

Se esta política mudar, a nova versão fica nesta página, com a data no topo. Se a mudança for importante, aviso quem está na newsletter.