Política de Privacidade

O responsável pelo tratamento dos seus dados é o profissional ou estabelecimento onde marcou o serviço — adiante, «o prestador». É ele que decide que dados pede, para que os usa e durante quanto tempo os guarda, e é a ele que deve dirigir-se em primeiro lugar; encontra o nome e os contactos na página de marcação e no email de confirmação que recebeu.

O Alayah é o subcontratante (Art. 28.º do RGPD): fornece ao prestador o sistema onde os dados ficam guardados e trata-os apenas segundo as instruções do prestador.

O sistema tem várias partes. Cada dado só é usado na parte a que diz respeito:

Para não mandar a toda a gente a mesma mensagem, o sistema arruma as clientes em grupos simples a partir do histórico de marcações — por exemplo «cliente frequente», «não vem há 90 dias» ou «tem um pacote ativo». O prestador usa esses grupos para escolher a quem envia cada campanha.

Isto é uma definição de perfis no sentido do Art. 4.º, n.º 4 do RGPD, mas não produz efeitos jurídicos nem decide nada sobre si: não altera preços, não recusa marcações e só serve para campanhas — que só lhe chegam se as tiver autorizado. Pode opor-se a qualquer momento, sem justificar (Art. 21.º, n.º 2), e deixa de ser incluída.

Não existe obrigação legal de os fornecer, mas o nome e o contacto são necessários para que a marcação exista — sem eles o prestador não consegue reservar-lhe o horário nem avisá-la de uma alteração. Sem esses dados, a marcação não pode ser feita através da plataforma.

Tudo o resto — email, data de nascimento, preferências, lembretes, campanhas e avaliações — é livre e opcional. Recusar não tem qualquer consequência no serviço prestado, e a confirmação da marcação é enviada de qualquer forma.

A sua ficha pode ter sido criada pelo prestador — por exemplo quando marca por telefone ou presencialmente. Nesse caso, os dados vêm de si própria, dados ao prestador nesse contacto, e são exatamente os descritos em A2, com as mesmas finalidades e prazos.

Tem os mesmos direitos, e pode pedir ao prestador que lhe mostre o que está registado (Art. 14.º do RGPD).

O perfil público de um profissional pode mostrar duas coisas diferentes, e as regras não são as mesmas para as duas.

A fotografia de perfil é do próprio profissional, e só ele a carrega. Depende do consentimento dele, dado separadamente para a captação e para a divulgação, e esse consentimento pode ser retirado a qualquer momento — a fotografia desaparece de imediato de todos os locais onde aparecia.

A galeria de trabalhos mostra trabalhos realizados, e nessas fotografias pode aparecer a cliente. Em cada fotografia que publica, o profissional declara que quem nela aparece autorizou a publicação, ou que não há ninguém identificável. Essa declaração fica registada com data. A plataforma não recolhe nem conserva o consentimento da pessoa retratada: quem o obtém, e quem por ele responde, é o prestador.

O direito à imagem é autónomo da proteção de dados (Art. 79.º do Código Civil) e pode ser retirado a todo o tempo. Se se reconhece numa fotografia publicada e pretende que seja retirada, basta pedi-lo ao prestador — a fotografia sai do site assim que o pedido for atendido. Os prazos e a forma de o fazer são os descritos em C5 e C7.

Mayara Rosa dos Santos
Empresária em Nome Individual (ENI), a operar sob a marca Alayah
NIF: 246 342 439
Av. 25 de Abril de 1974 40A, 2795-227 Linda-a-Velha
Portugal
E-mail: mayara@alayahsystem.com

As páginas de vendas do Alayah podem usar o pixel da Meta (Facebook e Instagram) e a etiqueta de conversões do Google Ads, para saber que anúncios trazem salões interessados. Estes mecanismos só são carregados depois de carregar em «Aceitar» no aviso de cookies — recusar é tão fácil como aceitar e não tem consequência nenhuma. Fundamento: consentimento (Art. 6.º/1/a do RGPD e art. 5.º, n.º 1 da Lei 41/2004).

Se aceitar, a Meta e a Google recebem o endereço da página, o endereço IP, dados técnicos do navegador e, quando pede um teste gratuito, o plano escolhido e o seu preço. O Alayah não lhes envia o seu nome, email ou telefone. Na recolha, o Alayah e cada uma delas são responsáveis conjuntos; o que fazem depois com os dados é da responsabilidade delas, segundo as suas próprias políticas.

Os pixels nunca carregam nas páginas dos salões, na marcação de serviços, na área de cliente, nem em nenhuma área com sessão — quem marca um serviço nunca é medido para anúncios.

Quando nos contacta para saber mais sobre o Alayah — pelo site, WhatsApp, Instagram ou por indicação — guardamos o seu nome, contactos, o nome do seu negócio e as notas das nossas conversas, para lhe responder e acompanhar o seu interesse (interesse legítimo e diligências pré-contratuais). Estes dados são vistos apenas pela equipa comercial do Alayah e são apagados ao fim de 12 meses sem contacto, se não se tornar cliente. Pode pedir-nos para os apagar a qualquer momento.

Os dados não são vendidos nem cedidos a terceiros. São partilhados apenas com os fornecedores necessários para a plataforma funcionar, todos vinculados por contrato de subcontratação nos termos do Art. 28.º do RGPD — tratam os dados só por conta do Alayah e segundo as suas instruções:

Recebem ainda dados, mas decidem por si o que fazem com eles (não são subcontratantes):

Os dados podem ainda ser comunicados a outras autoridades públicas quando a lei o exija.

A base de dados está alojada na União Europeia. Alguns fornecedores são sociedades norte-americanas ou podem aceder aos dados a partir dos Estados Unidos — a Vercel (alojamento da aplicação), a Sentry (registo de erros técnicos), a Cloudflare (verificação de segurança dos formulários), a Upstash (contagem de tentativas) e, só se aceitar os pixels de anúncios, a Meta e a Google. Essas transferências assentam na decisão de adequação da Comissão Europeia relativa ao EU-U.S. Data Privacy Framework, de 10 de julho de 2023, e, quando o fornecedor não está certificado, em cláusulas contratuais-tipo (Art. 46.º).

Pode pedir cópia das garantias aplicáveis pelo e-mail indicado em C7.

Os dados circulam sempre cifrados (HTTPS/TLS) e o acesso à plataforma exige autenticação, com permissões limitadas ao que cada função precisa. Os registos de consentimento não guardam o endereço IP em texto simples: guardam um código irreversível dele. As palavras-passe são guardadas cifradas e nunca em texto legível.

Os formulários de entrada na plataforma e o pedido de código de acesso à área de cliente têm uma verificação automática de segurança da Cloudflare (serviço Turnstile), que existe para distinguir pessoas de programas automáticos e travar tentativas feitas em série. Para isso, a Cloudflare recebe o endereço IP e sinais técnicos do navegador — o tipo de navegador, por exemplo, e o modo como a página é usada. Não recebe o que escreve no formulário: nem o número de telemóvel, nem o email, nem a palavra-passe. A verificação é quase sempre invisível e não lhe exige acção nenhuma. O fundamento é o interesse legítimo na segurança da plataforma (Art. 6.º/1/f).

Em caso de violação de dados pessoais, a autoridade de controlo é notificada no prazo de 72 horas (Art. 33.º) e os titulares são informados sempre que a violação implique risco elevado para os seus direitos (Art. 34.º).

Há dois tipos, e só um precisa da sua autorização:

• Estritamente necessários — a sessão de autenticação de quem entra na plataforma e um registo local no seu navegador que guarda as suas escolhas para não voltar a perguntar. Estão dispensados de consentimento (n.º 3 do art. 5.º da Lei 41/2004).
• Publicidade — o pixel da Meta e a etiqueta do Google Ads, só nas páginas de vendas do Alayah e só depois de aceitar (ver B3). Não há cookies de análise de audiência.

Se aceitou os pixels e mudou de ideias, retire a autorização aqui — deixam de carregar de imediato:

Pode também apagar os dados do site nas definições do seu navegador; apagar a sessão obriga a voltar a autenticar-se.

Ao abrigo do RGPD (Reg. UE 2016/679), tem direito a:

• Acesso — saber que dados existem sobre si e obter uma cópia (Art. 15.º)
• Retificação — corrigir dados errados ou incompletos (Art. 16.º)
• Apagamento — o «direito a ser esquecido» (Art. 17.º), nos limites do que a lei fiscal obriga a conservar
• Limitação — suspender o tratamento enquanto uma questão é resolvida (Art. 18.º)
• Portabilidade — receber os seus dados em formato estruturado e de uso corrente (Art. 20.º)
• Oposição — opor-se ao tratamento fundado em interesse legítimo (Art. 21.º, n.º 1). Tratando-se de marketing direto, incluindo os grupos de clientes para campanhas (A3), a oposição é absoluta: basta pedir e cessa, sem ter de justificar (Art. 21.º, n.º 2)
• Retirar o consentimento a qualquer momento (Art. 7.º, n.º 3) — é tão fácil retirar como foi dar. Use a hiperligação no fim de cada email, responda «STOP» ao SMS, ou peça-o ao prestador. Retirar não afeta a validade do que foi feito antes, nem cancela as marcações já existentes.

Pode ainda usar a página Direito ao Esquecimento para submeter um pedido de eliminação.

Não são tomadas decisões automatizadas com efeitos jurídicos ou que a afetem de forma significativa (Art. 22.º). O único perfil que existe são os grupos de clientes para campanhas descritos em A3, que servem apenas para escolher a quem se envia uma mensagem e aos quais se pode opor. As marcações e as comunicações são desencadeadas por regras simples e por decisões humanas do prestador.

Se marcou um serviço, dirija o pedido ao prestador. Se preferir, envie-o para o endereço abaixo e nós encaminhamo-lo para o responsável, informando-a de que o fizemos.

Se usa a plataforma para trabalhar, envie o pedido diretamente para: mayara@alayahsystem.com

Respondemos sem demora injustificada e, em qualquer caso, no prazo de um mês a contar da receção do pedido. Esse prazo pode ser prorrogado até dois meses adicionais quando o pedido for complexo ou houver vários pedidos em curso — nesse caso será informada da prorrogação e do motivo dentro do primeiro mês (Art. 12.º, n.º 3).

Tem sempre o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD).

Não está designado um Encarregado de Proteção de Dados, por não se verificarem os requisitos do Art. 37.º, n.º 1 do RGPD — a atividade não consiste no controlo regular e sistemático em larga escala de titulares, nem no tratamento em larga escala de categorias especiais de dados. Todas as questões de privacidade são tratadas pelo contacto indicado em C7.

Esta política pode ser atualizada. A versão e a data de entrada em vigor estão no topo da página, e cada consentimento fica registado com a versão que estava em vigor no momento em que foi dado. Alterações relevantes são comunicadas com destaque no site e, quando afetem tratamentos assentes em consentimento, por email.