Política de Privacidade

Esta política explica quais dados pessoais o recomendas.me trata, para quê, com qual base legal, por quanto tempo, com quem os compartilha, como os protege e como você pode exercer os seus direitos, nos termos do Regulamento Geral sobre a Proteção de Dados da União Europeia (RGPD) e da lei portuguesa.

1. Introdução

A Marvel Nest, Lda. (“Marvel Nest”, “nós”) opera o site www.recomendas.me e os aplicativos móveis recomendas.me (em conjunto, o “Serviço”).

Usamos os dados pessoais apenas para prestar e melhorar o Serviço e mantê-lo seguro. Esta política faz parte do acordo entre você e a Marvel Nest, junto com os Termos de Serviço. Os termos definidos nos Termos têm aqui o mesmo significado.

2. Definições

Dados pessoais: qualquer informação sobre uma pessoa identificada ou identificável, como o nome, o e-mail ou o telefone.
Dados de uso: dados coletados automaticamente quando você usa o Serviço, como o endereço IP ou o tipo de navegador.
Cookies: pequenos arquivos salvos no seu dispositivo pelo navegador.
Controlador: quem decide para quais finalidades e por quais meios os dados pessoais são tratados. No Serviço, é a Marvel Nest.
Operador: quem trata dados pessoais em nome e segundo as instruções do controlador, como um provedor de hospedagem ou de envio de SMS.
Titular dos dados: a pessoa a quem os dados se referem. Pode ser um usuário do Serviço ou um profissional recomendado por outra pessoa.

3. Controlador

O controlador é a Marvel Nest, Lda., sociedade portuguesa com o número de identificação fiscal (NIPC) 514880066 e sede em Estrada da Portela, 5, Piso 4, Esc. 5, 2790-045 Carnaxide, Portugal.

Para qualquer dúvida sobre privacidade ou para exercer os seus direitos, escreva para info@recomendas.me.

4. Quais dados coletamos

Quem pede uma recomendação

Nome e e-mail da conta e, se você informar, o telefone.
Se você entrar com o Google ou com a Apple, o identificador da conta nesse serviço e o nome e o e-mail que ele nos envia. Nunca recebemos a sua senha.
O conteúdo de cada pedido: a categoria, a localidade e a descrição que você escreve, e as respostas que você dá ao fechá-lo.

Quem recomenda

O seu nome, se você informar, e a sua escolha de mostrá-lo ou não a quem fez o pedido.
Os dados do profissional que você indica: nome, telefone ou e-mail, como você o conhece, como foi a experiência e o comentário que você escreve.
A sua declaração de que o profissional autorizou você a compartilhar o contato dele.

Profissionais recomendados

Se você foi recomendado, os seus dados chegaram até nós por meio de quem recomendou você, que declara ter a sua autorização. Tratamos:

o nome e o telefone ou e-mail informados, e o comentário sobre o seu trabalho;
o telefone ou e-mail que você confirma com um código, se quiser ver quantas vezes foi recomendado;
o contato verificado, se você clicar em “Tenho interesse” nas opções de destaque.

Dados de uso e técnicos

Os códigos de acesso e de verificação que enviamos por e-mail ou SMS, armazenados apenas de forma cifrada (hash).
O endereço IP, o tipo e a versão do navegador ou do dispositivo e a data e hora dos acessos, usados para manter a sessão, limitar o número de solicitações e impedir abusos.
Estatísticas de cada pedido (visualizações do link, compartilhamentos e contatos abertos), sem identificar quem as gerou.
Os sinais que o reCAPTCHA v3 do Google coleta no navegador para distinguir pessoas de programas automatizados.
Somente se você aceitar os cookies de análise: as páginas que você visita no site, de onde você chegou, o tipo de dispositivo, a região aproximada e um identificador aleatório salvo em um cookie, coletados pelo Google Analytics.
As denúncias de conteúdo que você faz no Serviço.

5. Para que usamos os dados e com qual base legal

Só tratamos dados pessoais quando temos uma base legal prevista no artigo 6.º, n.º 1, do RGPD:

Execução do contrato (alínea b)): quando o tratamento é necessário para prestar a você o Serviço que você aceitou ao usá-lo.
Consentimento (alínea a)): quando você nos dá autorização para uma finalidade específica, que pode ser revogada a qualquer momento.
Obrigação legal (alínea c)): quando a lei nos obriga a tratar ou a comunicar dados.
Interesse legítimo (alínea f)): quando o tratamento é necessário para um interesse nosso ou de terceiros que não se sobrepõe aos seus direitos.

Finalidade	Base legal
Criar e gerenciar a conta, publicar pedidos e receber recomendações	Execução do contrato
Mostrar a quem pediu os profissionais recomendados	Execução do contrato e, quanto aos dados do profissional, interesse legítimo em responder ao pedido, com a autorização declarada por quem recomenda
Verificar o contato de um profissional antes de mostrar a ele o número de recomendações	Interesse legítimo em impedir que alguém veja dados de outra pessoa
Registrar o interesse no destaque e voltar a entrar em contato com o profissional quando ele existir	Consentimento
Enviar e-mails e SMS com códigos e avisos do Serviço	Execução do contrato
Segurança e prevenção de abusos (códigos, limites por IP, reCAPTCHA, tratamento de denúncias)	Interesse legítimo
Estatísticas agregadas dos pedidos e melhoria do Serviço	Interesse legítimo
Medir o uso do site com o Google Analytics	Consentimento
Responder a solicitações de autoridades e cumprir obrigações legais	Obrigação legal

Não enviamos publicidade sem o seu consentimento prévio e expresso, não vendemos dados pessoais e não os usamos para criar perfis publicitários.

6. Operadores e prestadores de serviços

Contamos com os prestadores abaixo para prestar o Serviço. Cada um trata os dados apenas para a finalidade indicada, segundo as nossas instruções e com base em um contrato nos termos do artigo 28.º do RGPD.

Prestador	Finalidade	Dados
Google	Entrar com o Google, reCAPTCHA v3 e, com o seu consentimento, Google Analytics	Identificador, nome e e-mail da conta Google; sinais do navegador e endereço IP; páginas visitadas e identificador do cookie de análise
Apple	Entrar com a Apple nos aplicativos móveis	Identificador, nome e e-mail da conta Apple
Twilio	Envio dos códigos por SMS	Número de telefone e conteúdo da mensagem
Cloudflare	Entrega do site e proteção contra ataques	Endereço IP e dados técnicos das solicitações
Hetzner (Alemanha)	Hospedagem dos servidores e do banco de dados e envio dos e-mails do Serviço	Todos os dados do Serviço

O tratamento feito pelo Google e pela Apple também está sujeito às respectivas políticas de privacidade, em especial a Política de Privacidade do Google. Mantemos esta lista atualizada e indicamos aqui qualquer alteração relevante.

7. Com quem compartilhamos dados

Dentro do Serviço, quem fez um pedido vê os profissionais que foram recomendados e o nome de quem recomendou, apenas se essa pessoa quiser mostrá-lo. A descrição e a localidade de um pedido ativo ficam visíveis para quem tiver o link.

Fora do Serviço, só comunicamos dados pessoais:

aos operadores indicados na seção 6;
às autoridades, quando a lei exigir ou em resposta a uma solicitação válida de uma autoridade pública;
quando for necessário para proteger os direitos, a segurança ou os bens da Marvel Nest, dos usuários ou de terceiros;
no contexto de uma fusão, aquisição ou transferência do Serviço, caso em que avisaremos você antes de os dados passarem a estar sujeitos a outra política;
em outros casos, apenas com o seu consentimento.

8. Transferências internacionais

Alguns prestadores podem tratar dados fora do Espaço Econômico Europeu (EEE). Nesse caso, garantimos um nível de proteção equivalente ao do RGPD por meio de, pelo menos, uma destas garantias:

Decisão de adequação da Comissão Europeia, incluindo o Quadro de Privacidade de Dados UE-EUA para as empresas certificadas;
Cláusulas contratuais-padrão aprovadas pela Comissão Europeia (Decisão de Execução (UE) 2021/914);
Medidas suplementares, técnicas ou contratuais, quando a avaliação do caso justificar.

Para saber qual garantia se aplica a cada transferência, escreva para info@recomendas.me.

9. Por quanto tempo guardamos os dados

Guardamos os dados apenas pelo tempo necessário às finalidades desta política. Os prazos abaixo são aplicados por processos automáticos diários.

Dados	Prazo
Códigos de acesso e de verificação	Até 24 horas depois de expirarem
Contato verificado do profissional na sessão	Enquanto durar a sessão do navegador
Conta (nome, e-mail e telefone)	Até você excluí-la ou até 24 meses sem atividade, com aviso por e-mail 30 dias antes
Pedido ativo	Enquanto estiver ativo; é fechado automaticamente após 6 meses sem atividade
Descrição e localidade do pedido e nota livre do fechamento	12 meses depois do fechamento do pedido
Recomendações e dados dos profissionais recomendados	24 meses depois do fechamento do pedido
Estatísticas do pedido	12 meses
Dados do Google Analytics	14 meses, ou até você apagar os cookies de análise
Interesse no destaque	12 meses depois do último registro, ou até você revogar o consentimento

Ao excluir a conta, apagamos os seus dados, os seus pedidos e as recomendações que eles receberam. Só podemos guardar dados por mais tempo quando a lei exigir ou para defender um direito em um processo em andamento.

10. Medidas de segurança

Aplicamos medidas técnicas e organizacionais adequadas ao risco, nos termos do artigo 32.º do RGPD:

Criptografia em trânsito: todas as conexões usam HTTPS.
Criptografia em repouso: nomes, e-mails, telefones, comentários e notas ficam criptografados no banco de dados; as buscas usam índices cegos, sem expor os dados.
Códigos protegidos: os códigos de acesso e de verificação são armazenados apenas em hash e expiram rapidamente.
Controle de acesso: o acesso aos dados é restrito às pessoas que precisam dele, sujeitas a dever de confidencialidade.
Proteção contra abusos: limites de solicitações por endereço IP, reCAPTCHA e políticas de segurança do navegador.
Minimização: coletamos apenas os dados necessários e os apagamos nos prazos da seção 9.

Nenhum sistema é totalmente seguro, mas revisamos e testamos essas medidas regularmente.

11. Violações de dados pessoais

Se ocorrer uma violação de dados pessoais, notificaremos a Comissão Nacional de Proteção de Dados (CNPD) de Portugal sem demora injustificada e, sempre que possível, em até 72 horas depois de tomarmos conhecimento, a menos que a violação não seja suscetível de resultar em risco para os direitos das pessoas.

Se a violação for suscetível de resultar em risco elevado para os seus direitos, informaremos você diretamente, sem demora, sobre a natureza da violação, as suas consequências prováveis e as medidas tomadas.

12. Os seus direitos

Nos termos do RGPD, você tem direito a:

Acesso (art. 15.º): saber se tratamos dados seus e obter uma cópia.
Retificação (art. 16.º): corrigir dados inexatos ou incompletos.
Eliminação (art. 17.º): pedir que apaguemos os seus dados. Você pode excluir a sua conta a qualquer momento nas configurações.
Limitação do tratamento (art. 18.º): pedir que suspendamos o tratamento em determinadas situações.
Portabilidade (art. 20.º): receber os dados que você nos forneceu em um formato estruturado e de leitura automática.
Oposição (art. 21.º): opor-se aos tratamentos baseados no interesse legítimo, inclusive quando você foi indicado como profissional em uma recomendação.
Revogar o consentimento (art. 7.º, n.º 3) a qualquer momento, sem afetar o tratamento feito até então.
Não ficar sujeito a decisões automatizadas (art. 22.º). O reCAPTCHA pode bloquear um envio que pareça automatizado, mas não tomamos decisões automatizadas com efeitos jurídicos sobre você; se um envio for bloqueado, você pode tentar de novo ou entrar em contato conosco.
Apresentar reclamação (art. 77.º) à Comissão Nacional de Proteção de Dados de Portugal, em www.cnpd.pt, ou à autoridade de controle do país onde você reside.

Para exercer esses direitos, escreva para info@recomendas.me. Respondemos no prazo de um mês. Em casos complexos, esse prazo pode ser prorrogado por mais dois meses, e avisaremos você dentro do primeiro mês. Podemos pedir que você confirme a sua identidade, por exemplo com um código enviado para o contato em questão, para não entregarmos nem apagarmos dados de outra pessoa.

13. Cookies

Usamos os cookies estritamente necessários ao funcionamento do Serviço, que não exigem consentimento:

Cookie	Finalidade	Duração
Sessão	Manter a sua sessão enquanto você navega	Sessão do navegador
Proteção CSRF	Impedir solicitações forjadas em seu nome	Sessão do navegador
“Manter conectado neste dispositivo”	Manter você conectado, somente se você escolher	Até você encerrar a sessão
reCAPTCHA (Google)	Detectar programas automatizados e abusos	Definida pelo Google
Preferência de cookies	Lembrar se você aceitou ou recusou os cookies de análise, salva no armazenamento local do navegador	6 meses

Com o seu consentimento, usamos também cookies de análise do Google Analytics, carregado pelo Google Tag Manager, para saber quantas pessoas visitam o site e quais páginas usam, e assim melhorar o Serviço. Eles só são salvos depois que você clicar em “Aceitar” no aviso de cookies. Se você recusar, o site funciona da mesma forma.

Cookie	Finalidade	Duração
`_ga` (Google)	Distinguir visitantes, sem identificá-los	2 anos
`_ga_<id>` (Google)	Manter o estado da visita	2 anos

Sem consentimento, o Google Tag Manager ainda pode enviar ao Google sinais sem cookies, como o carregamento de uma página, que não permitem reconhecer você entre visitas. Não usamos cookies de publicidade.

Você pode mudar a sua escolha a qualquer momento no link “Cookies” do rodapé ou aqui. Ao recusar, apagamos os cookies de análise do seu navegador. Você também pode configurar o navegador para recusar cookies, mas sem os necessários algumas partes do Serviço, como o login, deixam de funcionar.

14. Menores de idade

O Serviço se destina a pessoas com pelo menos 18 anos e não coletamos intencionalmente dados de menores de idade. Se você souber que um menor nos forneceu dados pessoais, escreva para nós e nós os apagaremos.

15. Links para outros sites

O Serviço pode conter links para sites de terceiros que não controlamos. Ao abrir um desses links, o tratamento dos seus dados passa a ser regido pela política desse site, que recomendamos que você leia.

16. Alterações a esta política

Podemos atualizar esta política. A data da última atualização está sempre no topo desta página. Se as alterações forem relevantes, avisaremos você no Serviço ou por e-mail antes de entrarem em vigor.

17. Contato

Para qualquer dúvida sobre esta política, entre em contato conosco:

E-mail: info@recomendas.me
Controlador: Marvel Nest, Lda., NIPC 514880066
Endereço: Estrada da Portela, 5, Piso 4, Esc. 5, 2790-045 Carnaxide, Portugal