Política de Privacidade

1. Âmbito e papéis

A dok trata dados pessoais em dois papéis distintos:

• Como responsável pelo tratamento — relativamente aos dados dos utilizadores dos Negócios (contas de acesso à plataforma) e dos visitantes do sítio dok.pt. Esta Política descreve esse tratamento.
• Como subcontratante — relativamente aos dados dos Clientes finais dos Negócios, tratados por conta e sob instruções do Negócio (que é o responsável). Esse tratamento rege-se pelo Acordo de Tratamento de Dados. Nesses casos, o titular deve exercer os seus direitos junto do Negócio.

2. Que dados recolhemos

Utilizadores dos Negócios

• Identificação e contacto: nome, e-mail, palavra-passe (cifrada).
• Dados do Negócio: nome, NIF, contactos públicos, logótipo, definições.
• Dados técnicos: endereço IP, registos de acesso e de auditoria, identificadores de dispositivo para notificações push (se instalar a app).

Clientes finais (tratados por conta do Negócio)

• Identificação e contacto: nome, e-mail, telefone, data de nascimento, morada e NIF, quando fornecidos.
• Dados de compra: subscrições, produtos, histórico de pagamentos e utilizações. O consentimento de marketing é registado com data, hora e IP.
• Dados de cartão: os dados do cartão são recolhidos e processados diretamente pela Stripe. A dok não guarda o número do cartão nos seus sistemas.

3. Finalidades e bases legais

• Prestar o serviço (criar conta, processar pagamentos, gerir subscrições e produtos) — execução do contrato.
• Comunicações transacionais (confirmações, recibos, avisos de pagamento, magic links) — execução do contrato.
• Segurança, prevenção de fraude e auditoria — interesse legítimo e cumprimento de obrigações legais.
• Cumprimento de obrigações legais e fiscais — obrigação jurídica.
• Comunicações de marketing que os Negócios enviam aos seus Clientes finais (tratadas pela dok como subcontratante, por conta do Negócio) — com base no consentimento do titular, revogável a qualquer momento.

4. Com quem partilhamos dados

A dok não vende dados pessoais. Recorremos a prestadores de serviços e parceiros que tratam dados no âmbito da prestação do serviço, apenas na medida necessária ao seu funcionamento:

• Stripe — processamento de pagamentos (Stripe Connect). Quanto aos dados de pagamento, a Stripe atua como responsável independente, ao abrigo dos seus próprios termos e política de privacidade.
• Supabase — base de dados e autenticação.
• Vercel — alojamento da aplicação.
• Resend — envio de e-mails transacionais e de marketing.
• Inngest — processamento de tarefas em segundo plano (envio de e-mails, faturação, sincronizações).
• Sentry — monitorização de erros.
• Upstash — limitação de tentativas (rate limiting).
• Cloudflare — proteção anti-bot (Turnstile).
• InvoiceXpress — faturação, apenas quando o Negócio ativa a integração.
• Meta Platforms — medição de anúncios, exclusivamente nas nossas páginas de campanha (ver secção 8). Não abrange a área de cliente, o painel do Negócio nem as lojas públicas dos Negócios.

Podemos ainda partilhar dados quando exigido por lei ou por autoridade competente.

5. Transferências internacionais

Alguns dos nossos subcontratantes podem tratar dados fora do Espaço Económico Europeu. Nesses casos, as transferências assentam em mecanismos de proteção adequados, nomeadamente as Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia, garantindo um nível de proteção equivalente ao do RGPD.

6. Prazos de conservação

• Dados de conta: enquanto a conta estiver ativa e até 12 meses após a cessação.
• Registos de pagamento e faturação: pelos prazos legais de conservação fiscal aplicáveis.
• Magic links e sessões: eliminados após expirarem.
• Consentimento de marketing: até revogação; o registo da revogação é conservado como prova.

7. Os seus direitos

Nos termos do RGPD, o titular tem direito de aceder, retificar, apagar, limitar e opor-se ao tratamento, bem como à portabilidade dos seus dados e a retirar o consentimento a qualquer momento. Para exercer estes direitos:

• Se for utilizador de um Negócio ou visitante: contacte geral@dok.pt.
• Se for Cliente final: exerça os direitos junto do Negócio a quem comprou (responsável pelo tratamento). A dok apoia o Negócio no cumprimento desses pedidos.

O titular tem ainda o direito de apresentar reclamação à autoridade de controlo — em Portugal, a Comissão Nacional de Proteção de Dados (CNPD).

8. Cookies e tecnologias semelhantes

Na generalidade do serviço, a dok utiliza apenas os cookies e o armazenamento local necessários ao seu funcionamento — em particular, para manter a sessão iniciada e para a proteção anti-bot no início de sessão e no checkout. Na área de cliente, no painel do Negócio e nas lojas públicas dos Negócios não corre qualquer pixel publicitário nem tecnologia de rastreamento de terceiros, e nada do que aí se passa é comunicado a plataformas de publicidade.

A exceção são as nossas páginas de campanha publicitária — atualmente dok.pt/doksmile —, que se destinam a divulgar a dok junto de profissionais e são o destino de anúncios pagos. Nessas páginas, e apenas nessas, utilizamos o pixel da Meta (Facebook e Instagram) para medir que anúncios levam a um contacto e assim gerir o investimento publicitário. Esse pixel guarda no seu navegador cookies próprios da Meta (_fbp e _fbc) que identificam a visita e o anúncio de origem; por serem cookies do domínio dok.pt, uma vez criados podem acompanhá-lo noutras páginas do domínio, embora só nas páginas de campanha exista rastreamento a lê-los.

Para o mesmo efeito, enviamos à Meta, a partir dos nossos servidores, a informação de que um formulário foi submetido ou uma reunião marcada, acompanhada dos elementos que permitem associá-la à visita: os cookies acima, o endereço IP e o identificador do navegador. Os dados de identificação — e-mail, telefone e nome — seguem apenas em resumo criptográfico irreversível (SHA-256), nunca em texto legível.

Esta medição assenta no nosso interesse legítimo em avaliar a eficácia da comunicação. Pode opor-se a qualquer momento através do contacto indicado na secção 12, e a maioria dos navegadores permite bloquear estes cookies nas respetivas definições.

9. Segurança

Aplicamos medidas técnicas e organizativas adequadas: isolamento de dados por negócio ao nível da base de dados, cifra de credenciais e de chaves sensíveis, verificação de assinatura dos webhooks, limitação de tentativas e registos de auditoria. Nenhum sistema é totalmente inviolável, mas procuramos proteger os dados de forma proporcional ao risco.

10. Menores

A plataforma destina-se a negócios e a adultos. A dok não recolhe intencionalmente dados de menores diretamente. Quando um Negócio trate dados de menores no âmbito da sua atividade, é o Negócio o responsável por assegurar a base legal adequada.

11. Alterações a esta Política

Esta Política pode ser atualizada. As alterações relevantes são comunicadas na plataforma ou por e-mail. A data no topo indica a versão em vigor.

12. Contacto

Para questões de privacidade ou proteção de dados: geral@dok.pt.