Política de privacidade

1. Quem somos e a quem se aplica

A Vitrio é uma aplicação para empresas de janelas, portas e caixilharia: medições, propostas, preparação e instalação de obras, e um portal onde os clientes dessas empresas acompanham as suas obras.

O responsável pela aplicação é [a preencher: denominação social, NIF e morada da entidade que explora a Vitrio]. Para qualquer assunto sobre dados pessoais: [a preencher: endereço de email para privacidade].

Esta política distingue três situações, porque o papel da Vitrio não é o mesmo em todas:

• Contas das empresas (quem usa a área da empresa: administradores, comerciais, técnicos) e a relação comercial com cada empresa: aqui a Vitrio é responsável pelo tratamento.
• Dados dos clientes das empresas (fichas de cliente, obras, medições, fotografias, propostas, assistência) e o acesso desses clientes ao portal: aqui a responsável é a empresa que os regista e convida; a Vitrio trata-os por conta dela, como subcontratante (artigo 28.º do RGPD), nos termos do anexo aos Termos de utilização.
• Visitas ao website sem conta.

Se é cliente de uma empresa que usa a Vitrio, as questões sobre os dados da sua obra devem ser dirigidas a essa empresa. A Vitrio ajuda a empresa a responder-lhe.

2. Que dados tratamos

Contas das empresas

• Nome, email, telefone (se o indicar), perfil na empresa e a palavra-passe, guardada apenas sob a forma de um resumo criptográfico (scrypt), nunca em claro.
• Dados da empresa: denominação, NIF, morada, contactos, logótipo e as definições comerciais.
• Registo de actividade: o que cada pessoa fez na aplicação (por exemplo, «proposta enviada»), com o nome de quem o fez.
• Sessões iniciadas: data, endereço IP e identificação do navegador, para segurança.
• Pedidos de suporte enviados à Vitrio e a resposta, incluindo anexos e a página da aplicação de onde o pedido foi feito.
• Registo de utilização: o tipo de acção (por exemplo, «proposta enviada»), a empresa, o perfil e a data (sem nomes, conteúdos nem valores), para saber se a aplicação está a ser usada.
• Dados de facturação da subscrição. Os pagamentos com cartão são feitos directamente no Stripe: a Vitrio nunca recebe nem guarda os dados do cartão.

Dados que as empresas registam sobre os seus clientes

• Identificação e contacto do cliente: nome ou designação, NIF, email, telefone e morada.
• Obras: localização, divisões, peças, medidas, fotografias dos vãos, notas, marcações de visitas, propostas, fichas de instalação e pedidos de assistência.
• Se o cliente aceitar o convite para o portal: o email, o nome, a palavra-passe (em resumo criptográfico) e as sessões, como acima.

Visitas ao website

O website não usa ferramentas de análise, publicidade ou redes sociais, e não envia dados a terceiros. O servidor regista pedidos apenas para funcionar e detectar falhas, sem identificar quem visita.

3. Para que usamos os dados, e com que fundamento

• Prestar o serviço contratado pela empresa: criar e gerir a conta, guardar o trabalho, gerar documentos, enviar os emails da aplicação (confirmação, recuperação da palavra-passe, convites, avisos de propostas e de assistência). Fundamento: execução do contrato (artigo 6.º, n.º 1, alínea b), do RGPD).
• Segurança e prevenção de abuso: limites de tentativas de entrada e de envios, registo de sessões, detecção de falhas. Fundamento: interesse legítimo em proteger as contas e o serviço (alínea f).
• Facturação e obrigações legais: conservar facturas e registos contabilísticos. Fundamento: obrigação legal (alínea c).
• Acompanhamento das empresas pela equipa da Vitrio (perceber se uma empresa precisa de ajuda para começar). Fundamento: execução do contrato e interesse legítimo. Usa apenas dados de utilização da própria aplicação, sem perfis de comportamento nem decisões automáticas.

Não vendemos dados, não os usamos para publicidade e não tomamos decisões automatizadas com efeitos jurídicos.

4. Cookies e armazenamento no navegador

A aplicação usa um único cookie, estritamente necessário: o que mantém a sessão iniciada. Termina ao fim de 30 dias sem utilização e, em qualquer caso, 90 dias depois de iniciar sessão, ou quando sai. Não há cookies de análise nem de publicidade, por isso não há aviso de consentimento.

Dentro de cada separador do navegador, a aplicação guarda temporariamente (sessionStorage) os filtros das listas, a última página aberta, e medições e peças que ainda não chegaram ao servidor. Esses dados ficam no seu dispositivo e desaparecem ao fechar o separador.

Se usar Ocultar preços, essa escolha fica guardada no navegador desse dispositivo (localStorage), para os valores não reaparecerem ao recarregar a página diante de um cliente. Fica até carregar outra vez no botão; não identifica ninguém e não sai do dispositivo.

5. Com quem partilhamos

Só com quem nos ajuda a prestar o serviço, e só o necessário:

• Alojamento do servidor e das cópias de segurança: [a preencher: fornecedor e país].
• Envio de email: [a preencher: fornecedor do servidor SMTP e país].
• Pagamentos da subscrição: Stripe Payments Europe, Limited (Irlanda) [a confirmar: transferências para fora do Espaço Económico Europeu e respectivas garantias].
• Mapa da obra: só quando alguém abre o mapa para marcar a localização de uma obra, o navegador pede as imagens do mapa ao OpenStreetMap, que fica a saber a zona mostrada; a morada do ponto marcado (e a procura da morada escrita) usa o serviço Nominatim, do mesmo projecto, só quando se marca o pino ou se abre o mapa [a confirmar: fornecedor de mapas na instalação em produção]. A localização marcada fica guardada na obra, como a morada, e a localização do telemóvel só é lida quando se carrega em «Estou aqui».

Os clientes de uma empresa só vêem, no portal, o que essa empresa lhes disponibiliza. Uma empresa nunca vê dados de outra.

6. Durante quanto tempo

• Contas, obras e documentos: enquanto a conta da empresa estiver activa. Depois de um pedido de encerramento, a Vitrio disponibiliza uma exportação e elimina os dados no prazo de 30 dias.
• Facturas e registos de facturação: pelo prazo legal de conservação [a confirmar: 10 anos].
• Sessões: até terminarem (ver ponto 4).
• Contagens de tentativas de entrada e de envios: 2 dias, sem o email ou o IP em claro.
• Registo de utilização: 400 dias.
• Emails guardados no servidor quando o envio não está activo: 7 dias.
• Cópias de segurança: as últimas 14 cópias diárias no servidor [a preencher: retenção da cópia externa].
• Registos técnicos de disponibilidade e de falhas: sem dados pessoais.

7. Segurança

Ligações cifradas (HTTPS); palavras-passe guardadas apenas em resumo criptográfico; sessões em cookie inacessível a scripts; permissões verificadas no servidor para cada perfil; separação estrita entre empresas; limites de tentativas; registos técnicos sem dados pessoais; cópias de segurança diárias, com cópia fora do servidor e ensaios de reposição.

Em caso de violação de dados pessoais, a Vitrio avisa a CNPD nos termos do artigo 33.º do RGPD e, quando os dados forem de uma empresa cliente, avisa essa empresa sem demora injustificada.

8. Os seus direitos

Tem direito de acesso, rectificação, apagamento, limitação, portabilidade e oposição. Pode exercê-los através de [a preencher: endereço de email para privacidade]; respondemos no prazo de um mês.

• Na área da empresa, cada pessoa vê e altera os seus dados em Definições › A minha conta.
• No portal, o cliente pode alterar a palavra-passe e eliminar o seu acesso em A minha conta. Os dados da obra pertencem à empresa: os pedidos sobre eles devem ser dirigidos à empresa, e a Vitrio ajuda-a a cumpri-los.

Pode também apresentar reclamação à Comissão Nacional de Protecção de Dados (www.cnpd.pt).

9. Alterações

Quando esta política mudar de forma relevante, avisamos as empresas por email e na aplicação antes de a nova versão se aplicar. A data da versão em vigor está no topo desta página.