Declaração de Privacidade

Esta Declaração de Privacidade explica que dados pessoais tratamos quando usa o site pratoroo.com, a app web e as apps Pratoroo, Pratoroo Business e Pratoroo Driver (a "Plataforma"), para quê, com que fundamento, com quem os partilhamos, durante quanto tempo os guardamos e como exerce os seus direitos, nos termos do Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados, "RGPD") e da Lei n.º 58/2019, que o executa em Portugal.

1. Responsável pelo tratamento

GINGER DIALOGUE - UNIPESSOAL LDA, NIPC 519653955, Estr. Main Nr. 1, 2550-450 Peral CDV, Cadaval, Portugal. Contacto para questões de privacidade e para exercer os seus direitos: [email protected]. Mais dados em Informação legal.

Tendo em conta a natureza e a dimensão das operações de tratamento, não designámos um encarregado da proteção de dados (artigo 37.º do RGPD); todas as questões são tratadas pelo contacto acima, que responde diretamente à gerência.

Quando encomenda a um negócio, esse negócio também trata os seus dados (para preparar, entregar e faturar a encomenda) como responsável próprio, segundo as suas próprias regras. Os prestadores de pagamento (Stripe, PayPal, Ifthenpay), a Google e a Apple (quando escolhe entrar com essas contas) tratam também alguns dados como responsáveis próprios, para cumprir as suas obrigações legais (por exemplo, prevenção do branqueamento de capitais e da fraude); veja as respetivas políticas de privacidade.

2. Que dados tratamos e porquê

Dados	Para quê	Fundamento (RGPD)
Nome, email, telemóvel, morada de entrega, NIF (opcional), notas e alergias que escrever, produtos encomendados	Fazer chegar a encomenda ao negócio, enviar emails sobre a encomenda, "As minhas encomendas"	Execução do contrato (art. 6.º, n.º 1, b)
Encomendas para amigos e família: nome, telemóvel e morada de quem recebe, e a mensagem do mimo, dados por quem encomenda	Entregar a quem recebe, o negócio e o estafeta contactarem essa pessoa, o link de acompanhamento dela	Execução do contrato com quem encomenda, e interesse legítimo de quem recebe em recebê-la
Dados do pagamento (o resultado, nunca o número completo do cartão)	Pagamento online e reembolsos	Execução do contrato
Cartões guardados, só se marcar "Guardar este cartão": marca, últimos 4 dígitos, validade e a referência do prestador de pagamento (o cartão em si fica no prestador, nunca connosco)	Pagar mais depressa da próxima vez (com a confirmação do banco como sempre)	Consentimento (pode remover o cartão em Conta → Cartões guardados a qualquer momento)
Registos das encomendas e da comissão	Contabilidade e obrigações fiscais	Obrigação legal (art. 6.º, n.º 1, c)
Endereço IP, navegador, registos técnicos, verificação anti-robô	Segurança, prevenção de fraude e abusos	Interesse legítimo (art. 6.º, n.º 1, f)
Dados dos negócios e das pessoas que os representam (nome, NIF, documentos, contrato assinado, assinatura)	Registo, verificação e contrato com os negócios parceiros	Contrato e obrigação legal
Estafetas: identidade, NIF, documentos (carta, seguro, registo criminal), verificação de identidade, conta bancária	Verificar quem entrega, pagar e faturar	Contrato, obrigação legal e interesse legítimo (segurança)
Estafetas: localização do telemóvel enquanto estão online ou a fazer uma entrega (também com a app em segundo plano)	Oferecer entregas próximas, mostrar ao cliente onde está a encomenda, segurança e prevenção de fraude	Contrato e interesse legítimo
Clientes: a sua localização, só quando toca em "Usar a sua localização"	Mostrar os negócios perto de si	Consentimento (pode recusar no telemóvel)
Nome e email dados pela Google ou Apple, se escolher "Continuar com Google/Apple"	Entrar sem palavra-passe	Execução do contrato
Identificador do telemóvel para notificações (apps)	Avisar sobre encomendas e entregas	Execução do contrato (pode desligar no telemóvel)
Clientes: o seu sim a "ofertas e descontos" (data), só se o marcar	Enviar ofertas e descontos da Pratoroo por email e SMS	Consentimento (art. 6.º, n.º 1, a); retira-o desligando-a em Conta → Notificações, desmarcando a opção no próximo pagamento ou escrevendo para [email protected]
Registo do aviso de cookies e da aceitação dos termos (data, versão, endereço IP cifrado)	Provar as suas escolhas	Obrigação legal
Pedidos de ajuda, mensagens e fotografias que envia como prova	Responder-lhe, analisar problemas e reembolsos	Execução do contrato e interesse legítimo (defesa contra reclamações indevidas)
Avaliações (estrelas, comentário, nome abreviado)	Publicar a sua avaliação e detetar avaliações falsas	Execução do contrato e interesse legítimo (avaliações fiáveis)
Sinais de fraude: dispositivo, endereço IP, número cifrado do meio de pagamento, resultado da verificação do email, histórico de encomendas não recebidas e de reembolsos; nas encomendas em dinheiro com entrega, se partilhar a localização do telefone, só a distância entre o telefone e a morada	Prevenir fraude, pausar um método de pagamento, proteger clientes, negócios e estafetas (ver secção 6)	Interesse legítimo (art. 6.º, n.º 1, f; considerando 47 do RGPD)

A informação sobre alergias ou intolerâncias que escrever numa encomenda pode revelar dados de saúde: só a usamos para a passar ao negócio, com o seu consentimento explícito ao escrevê-la (art. 9.º, n.º 2, a).

Não vendemos os seus dados e não fazemos publicidade personalizada.

De onde vêm os dados e quais são obrigatórios

Recebemos a maior parte dos dados de si. Recebemos também dados: do negócio (estado da encomenda, respostas a pedidos de ajuda), do estafeta (localização durante a entrega, fotografia da entrega), dos prestadores de pagamento (resultado do pagamento, número cifrado do meio de pagamento, sinais de risco), da Google ou da Apple (nome e email, se escolher entrar com essas contas) e de listas públicas de prevenção de fraude (resultado da verificação do email).

Os dados marcados como obrigatórios nos formulários (nome, email, telemóvel e, nas entregas, a morada) são necessários para celebrar e cumprir o contrato: sem eles não é possível encomendar. Os restantes (por exemplo o NIF ou as notas) são opcionais.

3. Com quem partilhamos

• O negócio a quem encomenda (os dados necessários para a encomenda).
• Prestadores que trabalham por nossa conta: alojamento do servidor (União Europeia); Brevo (envio de emails); Stripe e PayPal (pagamentos); Ifthenpay (MB WAY e Multibanco); Google Maps Platform (encontrar moradas, mapas e calcular distâncias); Cloudflare (rede, proteção e verificação anti-robô "Turnstile"); Sumsub (verificação de identidade dos estafetas); Expo, Apple e Google (envio de notificações para as apps); Google e Apple (entrada com a sua conta, só se a escolher); NIF.PT (confirmar o NIF dos negócios); StopForumSpam (verificar se um email está na lista mundial de endereços de spam e fraude — recebe só uma forma cifrada (MD5) do email, nunca o próprio email); Have I Been Pwned (verificar que uma palavra-passe não está numa fuga de dados conhecida — recebe só os primeiros 5 caracteres de uma forma cifrada (SHA-1) da palavra-passe, nunca a palavra-passe); Anthropic (assistente de IA que ajuda a equipa a ler os pedidos de apoio (e as fotos que os clientes enviam como prova) e a preparar respostas — sem nomes; emails, telefones e números bancários escondidos; uma pessoa decide e envia sempre a resposta).
• Autoridades, quando a lei o exige.

Alguns destes prestadores podem tratar dados fora do Espaço Económico Europeu (por exemplo nos Estados Unidos). Nesses casos, a transferência é feita com as garantias previstas no RGPD (decisão de adequação, como o Quadro de Privacidade de Dados UE-EUA, ou cláusulas contratuais-tipo).

Celebrámos com cada prestador que trata dados por nossa conta um contrato que o obriga a usá-los só segundo as nossas instruções, com confidencialidade e medidas de segurança adequadas (artigo 28.º do RGPD). Pode pedir-nos mais informação sobre as garantias de cada transferência para [email protected].

4. Durante quanto tempo

Guardamos os dados só enquanto são precisos e apagamo-los automaticamente quando o prazo termina. Quando apaga a sua conta, apagamos de imediato tudo o que a lei permite; o que a lei obriga a guardar fica, sem o seu nome sempre que possível, só até ao fim do prazo legal.

Dados	Durante quanto tempo	Porquê
A sua conta (nome, email, telefone, moradas, entrada com Google/Apple, Face ID)	Até a apagar	Contrato
Valores das encomendas, faturas, reembolsos, pagamentos e transferências	10 anos	Lei fiscal e contabilística (Código do IVA, art. 52.º; Código do IRC, art. 123.º)
Nome, contactos, morada e NIF numa encomenda sem conta (ou de conta apagada)	3 anos após a encomenda; depois anonimizados	Reclamações, disputas e estornos (Código Civil, art. 498.º)
Os mesmos dados em qualquer encomenda	No máximo 10 anos; depois anonimizados	Idem
Notas da encomenda (alergias) e código da porta / andar	90 dias após a encomenda terminar	Só servem para preparar e entregar
Fotografia de entrega à porta e percurso GPS do estafeta	180 dias	Prova em caso de disputa ou estorno
Pedidos de apoio (clientes, negócios, estafetas)	3 anos após serem fechados	Reclamações e disputas
Documentos dos estafetas (identificação, carta, seguro, registo criminal)	Enquanto trabalha com a Pratoroo; apagados ao concluir a eliminação da conta	Verificação
Contrato e documentos dos negócios	10 anos após o fim da parceria	Lei comercial e fiscal
Atividade da equipa Pratoroo no painel de administração (só pessoal da Pratoroo)	6 meses	Segurança e responsabilização
Registo das escolhas de cookies e dos termos aceites	5 anos	Provar as suas escolhas
Códigos de entrada	Alguns minutos (apagados no dia seguinte)	Segurança
Endereço de internet (IP), tipo e número do dispositivo guardados com as encomendas e pedidos de ajuda (controlo de fraude nos reembolsos); distância entre o telefone e a morada nas encomendas em dinheiro	12 meses	Prevenção de fraude (interesse legítimo)
Telemóvel de quem recebe e mensagem do mimo de uma encomenda para amigos e família (o nome e a morada ficam com o registo da encomenda)	12 meses	Entregar a encomenda e responder a questões sobre ela
Contacto do dono de um restaurante que a equipa visitou e convidou a registar-se (nome, email, telemóvel), se nunca se registar	12 meses depois da última alteração	Convidar o restaurante a juntar-se à Pratoroo (interesse legítimo)
Cartão guardado (marca, últimos 4 dígitos, validade, referência do prestador)	Até o remover ou fechar a conta (removido também no prestador); cartões caducados removidos 30 dias depois do mês de validade	Pagar mais depressa (consentimento)
Endereço de internet (IP) e número do dispositivo que a equipa do negócio usa no painel (controlo de avaliações falsas)	12 meses	Prevenção de fraude (interesse legítimo)
Resultado da verificação do email no registo ou na encomenda (verde, laranja ou vermelho), guardado por uma forma cifrada do email; número cifrado do cartão, conta PayPal ou telefone MB WAY usado para pagar	12 meses	Prevenção de fraude (interesse legítimo)
Registos técnicos do servidor	14 dias	Segurança

O procedimento completo está no nosso registo interno de conservação de dados; pode pedi-lo para [email protected].

5. Os seus direitos

Pode, gratuitamente e a qualquer momento:

• Acesso — saber que dados temos sobre si e receber uma cópia (artigo 15.º do RGPD);
• Retificação — corrigir dados errados ou incompletos (artigo 16.º); a maioria pode corrigir na sua Conta;
• Apagamento — pedir que apaguemos os seus dados (artigo 17.º), exceto os que a lei nos obriga a guardar (por exemplo, registos fiscais) ou de que precisemos para defender um direito num processo;
• Limitação — pedir que deixemos de usar os dados durante uma verificação (artigo 18.º);
• Portabilidade — receber os dados que nos deu num formato de uso corrente e legível por máquina (artigo 20.º);
• Oposição — opor-se ao tratamento baseado em interesse legítimo, por motivos relacionados com a sua situação particular (artigo 21.º); deixamos de tratar os dados, salvo motivos legítimos imperiosos ou para defender um direito;
• Retirar o consentimento — quando o tratamento se baseia no consentimento (localização, ofertas e descontos, notas sobre alergias), pode retirá-lo a qualquer momento, sem afetar o tratamento já feito;
• Não ficar sujeito a decisões só automáticas — ver a secção 6.

Como exercer: escreva para [email protected] a partir do email da sua conta ou use a Ajuda na Plataforma. Podemos pedir-lhe que confirme a sua identidade antes de responder, para proteger os seus dados. Respondemos no prazo de um mês, prorrogável por mais dois meses em pedidos complexos ou numerosos, avisando-o do motivo (artigo 12.º do RGPD). Pedidos manifestamente infundados ou excessivos podem ser recusados ou sujeitos a uma taxa razoável.

Apagar a conta: pode apagar a sua conta a qualquer momento nas apps e no site (Conta → "Apagar a minha conta"). Veja como apagar a sua conta.

Tem também o direito de apresentar reclamação à CNPD — Comissão Nacional de Proteção de Dados (www.cnpd.pt), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa.

6. Decisões automatizadas e prevenção de fraude

Para proteger clientes, negócios e estafetas, alguns controlos de fraude funcionam automaticamente com base em regras: por exemplo, várias tentativas falhadas com cartão ou encomendas em dinheiro não recebidas repetidas podem pausar temporariamente um método de pagamento (cartão ou dinheiro). Estas medidas nunca o impedem de encomendar com outro método, são proporcionais e temporárias, e a lógica está explicada em Prevenção de fraude. Medidas mais graves, como o bloqueio de uma conta, são sempre decididas por uma pessoa da nossa equipa.

Tem o direito de obter intervenção humana, de manifestar o seu ponto de vista e de contestar qualquer decisão automática (artigo 22.º do RGPD): use a Ajuda ou escreva para [email protected]; uma pessoa revê e responde.

Não fazemos definição de perfis para publicidade nem vendemos perfis a terceiros.

7. Crianças

A Plataforma destina-se a pessoas com 18 ou mais anos. Não recolhemos conscientemente dados de menores. Se souber que um menor nos deu dados, avise-nos para [email protected] e apagamo-los. Nos serviços da sociedade da informação, a idade a partir da qual uma criança pode dar consentimento sozinha é, em Portugal, 13 anos (Lei n.º 58/2019, artigo 16.º); abaixo dessa idade é necessário o consentimento dos pais.

Apps Pratoroo, Pratoroo Business e Pratoroo Driver

As apps pedem autorização no telemóvel antes de usar:

• Localização — Pratoroo: só se tocar em "Usar a sua localização". Pratoroo Driver: enquanto o estafeta está online ou a fazer uma entrega, também em segundo plano (é avisado antes e pode desligar ficando offline).
• Câmara e fotografias — para enviar documentos, fotografias do menu ou a fotografia de entrega.
• Notificações — avisos de encomendas, entregas e mensagens.
• Face ID / impressão digital — Pratoroo Business: para abrir a app (pode desligar no menu). A verificação é feita pelo próprio telemóvel; a Pratoroo nunca recebe a sua cara nem a sua impressão digital.

As apps Pratoroo e Pratoroo Business guardam no telemóvel as últimas 5 encomendas (número, negócio, estado, total e data) para as mostrar sem internet; apagam-nas quando termina a sessão. "Continuar com Apple" na app para iPhone usa o ecrã da própria Apple: recebemos só o nome (na primeira vez) e o email que a Apple confirma.

As apps não seguem o que faz noutras apps ou sites e não usam publicidade.

8. Segurança

Protegemos os seus dados com medidas técnicas e organizativas adequadas ao risco (artigo 32.º do RGPD), entre as quais: ligações cifradas (HTTPS) e dados sensíveis cifrados no servidor; palavras-passe guardadas de forma irreversível e verificação contra fugas conhecidas; códigos de entrada por email e verificação em dois passos e chaves de acesso para a equipa; acesso da equipa limitado por permissões e registado; ligações temporárias e assinadas para documentos privados; verificação de todos os ficheiros enviados; cópias de segurança regulares; e servidores na União Europeia.

Se ocorrer uma violação de dados que possa causar risco para os seus direitos, comunicamo-la à CNPD no prazo de 72 horas e, se o risco for elevado, avisamo-lo sem demora (artigos 33.º e 34.º do RGPD).

Nenhum sistema é totalmente seguro: proteja também a sua conta, não partilhe os códigos que lhe enviamos e avise-nos se notar alguma atividade estranha.

9. Cookies

Veja a Política de Cookies.

10. Alterações

Se mudarmos esta declaração, publicamos aqui a nova versão com a data de atualização e, se a mudança for importante, avisamos os titulares de conta por email ou na Plataforma.