Esta é uma tradução do original em espanhol, disponibilizada por conveniência. Em caso de divergência, prevalece a versão em espanhol.

1. Responsável pelo tratamento

Identidade: REVISIT XMD, S.L. (doravante, «Revisit»)
Morada: C/ Holanda, 1, 08917 Badalona (Barcelona), Espanha
Número de identificação fiscal (NIF): B93872174
Correio eletrónico de contacto: hola@revisit.es

2. Dados que recolhemos

Consoante a sua relação com a Revisit, tratamos diferentes categorias de dados pessoais:

2.1. Visitantes do website

Dados fornecidos através do formulário de contacto: nome, nome do negócio, telefone e endereço de correio eletrónico.

2.2. Negócios clientes (tenants)

Dados da empresa: nome comercial, endereço de correio eletrónico, telefone, morada, website, logótipo.
Dados dos utilizadores (pessoal do negócio): nome, endereço de correio eletrónico, palavra-passe (guardada cifrada), avatar.
Dados de configuração do serviço: horários, programa de fidelização, prémios, campanhas de marketing.
Credenciais OAuth da Google (guardadas cifradas) para a integração com o Google Business Profile.

2.3. Clientes finais dos negócios

Os negócios que utilizam a Revisit registam dados dos seus próprios clientes. Nesse caso, o negócio atua como responsável pelo tratamento e a REVISIT XMD, S.L., através da plataforma Revisit, como subcontratante nos termos do artigo 28.º do RGPD.

Dados identificativos: nome, endereço de correio eletrónico, telefone, indicativo telefónico.
Dados demográficos (opcionais): data de nascimento, género, código postal, canal de angariação.
Dados de atividade: visitas, pontos, selos, valor médio de compra, valor do cliente ao longo do tempo (LTV), estado do cliente.
Dados da carteira digital: token da carteira, identificador do objeto Google Wallet.
Dados de interação: avaliações, resgates de prémios, pedidos de avaliação enviados.
Consentimento de marketing: registado de forma expressa e separada.

2.4. Negócios que contactamos

A nossa equipa comercial, própria ou formada por colaboradores externos que atuam por conta da Revisit, contacta negócios que possam estar interessados na Plataforma. Para isso, tratamos os dados profissionais do negócio e da sua pessoa de contacto que obtemos de fontes de acesso público, como a sua ficha do Google, o seu website ou as suas redes sociais, ou que o próprio negócio nos fornece.

Dados tratados: nome, morada, telefone, e-mail, website e redes sociais do negócio; nome e cargo da pessoa de contacto; e as notas da gestão comercial.
Fundamento jurídico: o interesse legítimo da Revisit em dar a conhecer o seu serviço a outros negócios (art. 6.º, n.º 1, al. f) do RGPD). Antes de ligar a uma pessoa singular consultamos as listas de oposição à publicidade, e não enviamos comunicações comerciais por e-mail, SMS ou aplicações de mensagens a quem não as pediu.
Oposição: pode pedir-nos a qualquer momento que deixemos de o contactar, escrevendo para hola@revisit.es. Deixaremos de o fazer e conservaremos apenas o necessário para respeitar a sua decisão.
Conservação: a indicada na secção 8.

3. Finalidades do tratamento

Prestação do serviço de fidelização contratado pelos negócios.
Gestão da relação comercial com os negócios clientes.
Gestão de pedidos de contacto e de apoio técnico.
Envio de comunicações comerciais sobre a Revisit (exclusivamente com consentimento prévio).
Melhoria do serviço através de análises estatísticas agregadas e anonimizadas.
Cumprimento das obrigações legais aplicáveis.
Contacto comercial com negócios que possam estar interessados na Revisit (secção 2.4).

4. Fundamento jurídico do tratamento

Execução do contrato (art. 6.º, n.º 1, al. b) do RGPD): para prestar o serviço aos negócios que contratam a Revisit.
Consentimento (art. 6.º, n.º 1, al. a) do RGPD): para o envio de comunicações comerciais e para o tratamento dos dados dos clientes finais por parte dos negócios.
Interesse legítimo (art. 6.º, n.º 1, al. f) do RGPD): para melhorar o serviço, realizar análises estatísticas agregadas e prevenir fraudes ou utilizações indevidas.
Obrigação legal (art. 6.º, n.º 1, al. c) do RGPD): para cumprir obrigações fiscais, comerciais e de proteção de dados.
Interesse legítimo (art. 6.º, n.º 1, al. f) do RGPD): também para o contacto comercial com negócios descrito na secção 2.4.

5. Destinatários e subcontratantes

Os dados pessoais podem ser comunicados aos seguintes destinatários ou subcontratantes:

OVH SAS (Gravelines, França, UE): fornecedor de infraestrutura e alojamento dos servidores onde se guardam todos os dados da plataforma.
Google LLC (Estados Unidos): para a funcionalidade Google Wallet e a integração com o Google Business Profile. Transferência abrangida pelo Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework).
Motor de automações (alojado na OVH, França, UE): sistema de automação de fluxos de trabalho utilizado para processar eventos e enviar notificações.
Resend, Inc. (Estados Unidos): envio dos e-mails da plataforma (boas-vindas, prémios, avisos e comunicações do negócio). Trata o nome e o endereço de e-mail do destinatário.
Apple Inc. (Estados Unidos): para o cartão de fidelização na Apple Wallet, as respetivas notificações e o início de sessão com a Apple.
OpenRouter, Inc. (Estados Unidos) e os fornecedores de modelos de inteligência artificial a que dá acesso: para o assistente Revi, as sugestões de campanhas, a análise de avaliações e a tradução de conteúdos. Só são enviados os dados necessários para cada tarefa.
Functional Software, Inc. (Sentry) (dados alojados na UE, Frankfurt): registo de erros técnicos para manter a estabilidade e a segurança do serviço.

Não são realizadas comunicações de dados a terceiros, salvo obrigação legal ou necessidade estrita para a prestação do serviço.

6. Utilização dos dados das APIs da Google (requisitos de uso limitado)

A Revisit acede a informação através das APIs da Google (Google Wallet, Perfil da Empresa no Google (Google Business Profile) e Iniciar sessão com o Google) exclusivamente para prestar as funcionalidades contratadas pelo negócio: emitir e atualizar o cartão de fidelização do cliente no Google Wallet, mostrar e responder às avaliações do negócio no seu Perfil da Empresa no Google e permitir ao proprietário iniciar sessão no seu painel de gestão.

A utilização e transferência pela Revisit da informação recebida das APIs da Google cumprirá a Política de Dados de Utilizador dos Serviços de API da Google, incluindo os seus requisitos de uso limitado (Limited Use). Em concreto:

Utilizamos os dados obtidos das APIs da Google apenas para fornecer ou melhorar funcionalidades visíveis para o utilizador dentro da Revisit.
Não vendemos os dados obtidos das APIs da Google.
Não utilizamos esses dados para fins publicitários, incluindo publicidade personalizada, nem para avaliar a solvência ou para fins de concessão de crédito.
Não permitimos que esses dados sejam lidos por pessoas, exceto: (a) com o consentimento expresso do utilizador, (b) por motivos de segurança (por exemplo, investigar abusos), (c) para cumprir a legislação aplicável, ou (d) quando os dados estejam agregados e anonimizados e sejam utilizados em operações internas de acordo com as políticas aplicáveis.

7. Transferências internacionais de dados

A infraestrutura principal da Revisit encontra-se na União Europeia (OVH, Gravelines, França).

Alguns fornecedores (Google, Apple, Resend, OpenRouter e os fornecedores de modelos de IA) estão sediados nos Estados Unidos, pelo que a sua utilização pode implicar transferências internacionais de dados. Essas transferências estão abrangidas pelo Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework), aprovado pela Decisão de Adequação da Comissão Europeia de 10 de julho de 2023, quando o fornecedor a ele aderiu, e, na sua falta, pelas Cláusulas Contratuais-Tipo (CCT) aprovadas pela Comissão Europeia.

8. Conservação dos dados

Dados de leads e formulários de contacto: 24 meses a contar do último contacto, salvo se for formalizada uma relação contratual. Decorrido esse prazo, eliminam-se os dados da pessoa de contacto e conservam-se apenas os do negócio.
Dados de negócios contactados pela equipa comercial: o mesmo prazo de 24 meses a contar do último contacto, salvo se o negócio passar a ser cliente, e com o mesmo tratamento no fim desse prazo.
Dados dos negócios clientes: durante a vigência da relação contratual, acrescida dos prazos legais de conservação (obrigações fiscais e comerciais).
Dados dos clientes finais: enquanto o negócio mantiver a sua conta Revisit ativa, ou até que o cliente final solicite a sua eliminação ao negócio correspondente.
Após a cessação do serviço: os dados são conservados bloqueados durante os prazos legais e eliminados de forma segura depois de decorridos.

9. Direitos dos titulares

Ao abrigo do RGPD e da legislação espanhola de proteção de dados (LOPDGDD), pode exercer os seguintes direitos:

Acesso (art. 15.º do RGPD): saber que dados pessoais seus estamos a tratar.
Retificação (art. 16.º do RGPD): corrigir dados inexatos ou incompletos.
Apagamento (art. 17.º do RGPD): solicitar a eliminação dos seus dados quando já não sejam necessários.
Limitação do tratamento (art. 18.º do RGPD): solicitar que o tratamento seja limitado em determinadas circunstâncias.
Portabilidade (art. 20.º do RGPD): receber os seus dados num formato estruturado, de uso corrente e de leitura automática, e transmiti-los a outro responsável.
Oposição (art. 21.º do RGPD): opor-se ao tratamento dos seus dados em determinados casos.
Retirada do consentimento: quando o tratamento se baseia no seu consentimento, pode retirá-lo a qualquer momento, sem prejuízo da licitude do tratamento anterior.

Para exercer qualquer destes direitos, envie uma mensagem de correio eletrónico para hola@revisit.es indicando o direito que pretende exercer e juntando cópia do seu documento de identificação. Responderemos no prazo máximo de um mês a contar da receção do pedido, prorrogável por mais dois meses em caso de pedidos complexos ou numerosos, do que o informaremos.

Os clientes finais dos negócios devem dirigir os seus pedidos de exercício de direitos ao negócio correspondente, que é o responsável pelo tratamento dos seus dados. Se necessitar de apoio, pode ainda assim contactar-nos em hola@revisit.es.

10. Subcontratante

A REVISIT XMD, S.L., através da plataforma Revisit, atua como subcontratante relativamente aos dados dos clientes finais que os negócios introduzem na Plataforma. As condições dessa subcontratação, nos termos do artigo 28.º do RGPD, constam do Anexo dos Termos e Condições que cada negócio aceita, e estabelecem:

As instruções do responsável para o tratamento dos dados.
As medidas técnicas e organizativas de segurança aplicáveis.
As obrigações de confidencialidade do pessoal com acesso aos dados.
As condições para o recurso a subcontratantes ulteriores.
A assistência ao responsável no cumprimento das suas obrigações (direitos dos titulares, avaliações de impacto, notificação de violações).
A devolução ou eliminação dos dados no termo da relação contratual.

11. Medidas de segurança

A Revisit aplica medidas técnicas e organizativas adequadas para garantir a segurança dos dados pessoais, entre as quais:

Palavras-passe cifradas com algoritmos de hash seguros (bcrypt).
Todas as comunicações cifradas através de HTTPS/TLS.
Tokens OAuth e credenciais sensíveis guardados de forma cifrada e nunca expostos nas respostas da API.
Verificação OTP no registo dos clientes finais.
Sistema de funções e permissões com isolamento de dados por tenant (negócio).
Cópias de segurança periódicas.
Acesso restrito aos servidores e sistemas de produção.

12. Reclamações

Se considerar que o tratamento dos seus dados pessoais não cumpre a legislação em vigor, tem o direito de apresentar reclamação junto da Agência Espanhola de Proteção de Dados (AEPD):

Website: www.aepd.es
Morada: C/ Jorge Juan, 6, 28001 Madrid, Espanha

Política de privacidade