Política de Privacidade
Última atualização: 3 de setembro de 2026 · Versão 1.0
1. Quem somos e como nos contactar
A Üsmarka é uma plataforma de marcações online para negócios de serviços (barbearias, cabeleireiros, unhas, maquilhagem e semelhantes), acessível em usmarka.pt.
Responsável pelo tratamento dos dados descritos nesta política:
- Nome: [NOME COMPLETO], empresário em nome individual
- NIF: [NIF]
- Morada: [MORADA]
- Email: [EMAIL DE CONTACTO]
Não temos Encarregado de Proteção de Dados (DPO) designado, por não se verificarem os requisitos do artigo 37.º do RGPD. Para qualquer questão sobre dados pessoais, use o email acima.
2. Duas relações diferentes: leia com atenção
Esta política cobre duas situações que a lei trata de forma diferente. Perceber qual delas se aplica a si é o passo mais importante.
a) Se é um negócio que subscreve a Üsmarka. Tratamos os seus dados como responsável pelo tratamento. É a nós que se dirige para exercer os seus direitos sobre esses dados. Ver secções 4 a 6.
b) Se é cliente de um negócio que usa a Üsmarka para marcar um serviço. Os seus dados de cliente pertencem, para efeitos de proteção de dados, ao negócio onde marcou: é esse negócio o responsável pelo tratamento. A Üsmarka é apenas subcontratante: trata os seus dados por conta e segundo instruções desse negócio, nos termos do artigo 28.º do RGPD. Na prática, os seus pedidos de acesso, correção ou apagamento devem ser dirigidos em primeiro lugar ao negócio onde marcou. Se nos contactar diretamente, reencaminhamos o pedido para esse negócio e informamo-lo disso. Ver secção 7.
3. Categorias especiais de dados: o que não tratamos
A Üsmarka não se destina a profissões de saúde e não deve ser usada para tratar dados de saúde. Não pedimos, não recolhemos e não queremos receber dados relativos a saúde, condições clínicas, alergias, medicação, vida sexual, convicções religiosas, filiação sindical, origem racial ou étnica, opiniões políticas ou dados genéticos e biométricos.
Os campos de texto livre da plataforma (notas do cliente, notas da marcação) não devem ser usados para registar informação desse tipo. Os negócios subscritores estão contratualmente proibidos de o fazer, nos termos do Acordo de Subcontratação. Se um negócio o fizer, fá-lo por sua conta e risco, como responsável pelo tratamento.
4. Que dados recolhemos dos negócios subscritores
| Categoria | Dados concretos | De onde vêm |
|---|---|---|
| Conta e autenticação | Email, palavra-passe (guardada cifrada, nunca em texto legível), data de registo, data do último acesso | Fornecidos por si |
| Negócio | Nome do negócio, setor, logótipo, cor da marca, morada, telefone, fuso horário, endereço público (slug) | Fornecidos por si |
| Equipa | Nome, fotografia, cargo, serviços que executa, horários de trabalho, folgas | Fornecidos por si |
| Catálogo | Serviços, duração, preço, modo de pagamento, valor de sinal | Fornecidos por si |
| Faturação da subscrição | Plano, estado da subscrição, histórico de pagamentos, identificadores Stripe. Os dados do cartão são introduzidos diretamente no Stripe e nunca passam pelos nossos servidores. | Fornecidos por si / Stripe |
| Técnicos | Endereço IP, registos de acesso e de erro, tipo de dispositivo e navegador | Recolhidos automaticamente |
5. Para que usamos os dados dos negócios, e com que base legal
| Finalidade | Base legal (artigo 6.º do RGPD) | Conservação |
|---|---|---|
| Criar e gerir a conta e prestar o serviço contratado | Execução do contrato: al. b) | Enquanto a conta existir |
| Cobrar a subscrição e emitir documentos de faturação | Execução do contrato: al. b); obrigação jurídica: al. c) | 10 anos (artigo 123.º do Código do IRC e legislação de IVA) |
| Apoio ao cliente e resposta a pedidos | Execução do contrato: al. b) | 2 anos após o último contacto |
| Segurança da plataforma, prevenção de abuso e registo de acessos | Interesse legítimo: al. f) | 12 meses |
| Diagnóstico de erros e melhoria técnica | Interesse legítimo: al. f) | 12 meses |
| Comunicações sobre alterações ao serviço, preços ou termos | Execução do contrato: al. b) | Enquanto a conta existir |
| Emails de marketing sobre a Üsmarka | Consentimento: al. a), ou interesse legítimo em clientes existentes ao abrigo do artigo 13.º-A da Lei 41/2004 | Até retirar o consentimento |
| Defesa em processos e cumprimento de obrigações legais | Interesse legítimo: al. f); obrigação jurídica: al. c) | Até ao fim dos prazos de prescrição aplicáveis |
Sobre o interesse legítimo. Sempre que invocamos o interesse legítimo, ponderámos previamente esse interesse contra os seus direitos e liberdades. Pode pedir-nos um resumo dessa ponderação pelo email de contacto, e pode opor-se ao tratamento nos termos da secção 9.
6. Apagar a conta e período de tolerância
Quando pede o apagamento da conta, esta é marcada para eliminação e mantida durante 30 dias, para que possa mudar de ideias e recuperar os dados. Findo esse prazo, os dados são eliminados de forma definitiva dos sistemas ativos. Após esse prazo mantemos apenas: os dados de faturação, pelos 10 anos legalmente exigidos; as cópias de segurança, que são sobrescritas no ciclo normal de rotação (até [NÚMERO DE DIAS] dias); e o que for estritamente necessário para exercer ou defender direitos num litígio em curso.
7. Dados dos clientes finais dos negócios
7.1. Que dados são tratados
Nome, telefone, email, histórico de marcações (serviço, profissional, data, hora, estado, preço), notas escritas pelo negócio, fotografias de resultado quando o negócio as carrega, contadores de faltas e cancelamentos, e o Score de risco descrito na secção 7.3.
7.2. Em que qualidade
Como subcontratante do negócio onde marcou. O negócio decide que dados recolhe, para quê e durante quanto tempo os conserva. Nós fornecemos a ferramenta e cumprimos as instruções do negócio. Por essa razão, o prazo de conservação destes dados é definido pelo negócio, não por nós. Quando um negócio encerra a conta na Üsmarka, os dados dos seus clientes são eliminados juntamente com a conta, no prazo descrito na secção 6.
7.3. Score de risco: decisão automatizada
O que é. A cada cliente de um negócio é atribuída automaticamente pelo sistema uma pontuação entre 0 e 100, calculada exclusivamente a partir do histórico desse cliente nesse negócio em concreto.
Como é calculada. A pontuação parte de um valor máximo de confiança e é ajustada assim: cada falta a uma marcação (no-show) retira 10 pontos; cada cancelamento feito pelo próprio cliente retira 5 pontos; cada marcação cumprida devolve 2 pontos, pelo que a pontuação recupera com o tempo; no final de cada dia, as marcações que o negócio não assinalou como falta contam como cumpridas.
Que consequência tem. Se a pontuação ultrapassar o limiar definido pelo negócio nas suas definições, o sistema pede o pagamento de um sinal antecipado para confirmar novas marcações. A marcação não é recusada: a condição de pagamento é que muda.
Delimitação importante. O cálculo é feito isoladamente para cada negócio. Não existe qualquer base de dados partilhada entre negócios diferentes, nem lista negra comum, nem troca de pontuações entre subscritores da Üsmarka. O que aconteceu num negócio não afeta a sua pontuação noutro.
Lógica, significado e consequências. A lógica está descrita acima na íntegra. O significado é uma estimativa da probabilidade de não comparência, baseada apenas em comportamento passado registado por esse negócio. A consequência prevista é a exigência de sinal antecipado.
Os seus direitos quanto a esta decisão. Nos termos do artigo 22.º do RGPD, tem direito a: obter intervenção humana: pode pedir ao negócio que reveja a exigência de sinal e a dispense; manifestar o seu ponto de vista e explicar as circunstâncias, por exemplo se uma falta se deveu a motivo justificado; contestar a decisão. Para exercer estes direitos, contacte o negócio onde está a marcar. O negócio pode, a qualquer momento, alterar o limiar, desativar a exigência de sinal ou corrigir manualmente os contadores de faltas.
O tratamento assenta na necessidade para a execução ou celebração do contrato entre si e o negócio (artigo 22.º, n.º 2, alínea a) do RGPD), e no interesse legítimo do negócio em reduzir perdas com faltas. Não são usadas categorias especiais de dados neste cálculo.
7.4. Quando a Üsmarka é responsável pelo tratamento perante clientes finais
Em três situações tratamos dados de clientes finais por decisão própria, e não por instrução do negócio: 1) Pagamentos e reembolsos: quando paga um sinal ou o valor de um serviço através da plataforma, o pagamento é processado pelo Stripe e o registo da transação é tratado por nós, também para cumprir as nossas obrigações fiscais e de prevenção de branqueamento de capitais. Base legal: obrigação jurídica e execução do contrato. 2) Segurança do formulário público: usamos o Cloudflare Turnstile para distinguir pessoas de robôs. Base legal: interesse legítimo em proteger a plataforma contra marcações automatizadas e abuso. 3) Registos técnicos e de erro. Base legal: interesse legítimo. Nestas três situações, pode dirigir-se diretamente a nós.
8. Subcontratantes e transferências internacionais
Recorremos aos seguintes prestadores. Todos estão vinculados por contrato de subcontratação com obrigações de confidencialidade e segurança.
| Prestador | Para quê | Onde trata os dados | Salvaguarda para transferências fora da UE |
|---|---|---|---|
| Supabase | Base de dados, autenticação e armazenamento de ficheiros | Região [CONFIRMAR REGIÃO DO PROJETO SUPABASE] | Cláusulas Contratuais-Tipo, se a região não for na UE |
| Lovable | Alojamento e execução da aplicação | [CONFIRMAR COM A LOVABLE] | Cláusulas Contratuais-Tipo |
| Stripe | Processamento de pagamentos e subscrições | Irlanda e Estados Unidos | Stripe Payments Europe, Ltd. (Irlanda); Cláusulas Contratuais-Tipo para os EUA |
| Cloudflare | Turnstile: verificação anti-robôs no formulário público | Rede global | Cláusulas Contratuais-Tipo |
| Resend | Envio de emails transacionais | Estados Unidos | Cláusulas Contratuais-Tipo |
| Twilio | Envio de SMS | Estados Unidos | Cláusulas Contratuais-Tipo |
| Meta Platforms Ireland | Envio de mensagens WhatsApp, quando o negócio ativa este canal | Irlanda e Estados Unidos | Cláusulas Contratuais-Tipo |
| Fornecimento de tipos de letra a partir do Google Fonts | Estados Unidos | Cláusulas Contratuais-Tipo |
Não vendemos, alugamos nem cedemos dados pessoais a terceiros para fins de marketing. Além dos prestadores acima, podemos divulgar dados quando formos legalmente obrigados a fazê-lo perante autoridades judiciais, tributárias ou administrativas competentes.
9. Os seus direitos
- aceder aos seus dados e obter uma cópia;
- retificar dados inexatos ou incompletos;
- apagar os dados, quando não haja fundamento para os conservar;
- limitar o tratamento em determinadas circunstâncias;
- portabilidade: receber os dados em formato estruturado e de uso corrente, ou pedir que sejam transmitidos a outro prestador;
- opor-se a tratamentos baseados em interesse legítimo, incluindo marketing direto;
- não ficar sujeito a decisões exclusivamente automatizadas, nos termos da secção 7.3;
- retirar o consentimento a qualquer momento, quando o tratamento se baseie em consentimento, sem afetar a licitude do tratamento anterior.
Como exercer. Escreva para [EMAIL DE CONTACTO]. Respondemos no prazo de um mês, prorrogável por mais dois meses em pedidos complexos, caso em que o informaremos dentro do primeiro mês. O exercício destes direitos é gratuito; só em pedidos manifestamente infundados ou repetitivos poderemos cobrar um custo razoável ou recusar. Se é cliente final de um negócio, recorde a secção 2: dirija o pedido primeiro ao negócio onde marcou.
Reclamações. Se entender que o tratamento viola a lei, pode reclamar junto da Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, geral@cnpd.pt, www.cnpd.pt. Agradecemos que nos contacte primeiro: resolvemos a maioria das situações diretamente.
10. Segurança
Aplicamos medidas técnicas e organizativas adequadas ao risco, entre as quais:
- cifragem em trânsito (TLS) e em repouso;
- isolamento rigoroso entre negócios através de políticas de segurança ao nível da linha na base de dados (Row Level Security), de modo a que um negócio não consiga aceder aos dados de outro;
- palavras-passe guardadas com funções de derivação de chave, nunca em texto legível;
- acesso a dados de produção restrito ao estritamente necessário;
- cópias de segurança regulares;
- verificação anti-robôs no formulário público de marcação.
Nenhum sistema é totalmente inviolável. Se ocorrer uma violação de dados pessoais suscetível de resultar em risco para direitos e liberdades, notificamos a CNPD no prazo de 72 horas e, quando o risco for elevado, informamos também as pessoas afetadas.
11. Menores
A Üsmarka não se destina a menores de 16 anos. Se um cliente final for menor, cabe ao negócio obter o consentimento ou a autorização dos titulares das responsabilidades parentais, nos termos do artigo 8.º do RGPD e do artigo 16.º da Lei 58/2019.
12. Cookies
O uso de cookies e de tecnologias semelhantes está descrito na Política de Cookies.
13. Alterações a esta política
Podemos atualizar esta política. Alterações substanciais são comunicadas por email aos negócios subscritores com pelo menos 15 dias de antecedência, e assinaladas no site. A data da última atualização está no topo.
Documento elaborado com base no Regulamento (UE) 2016/679 (RGPD), na Lei 58/2019 de 8 de agosto e na Lei 41/2004 de 18 de agosto.