Política de Privacidade

A uBeauty é a ferramenta que os estabelecimentos usam para gerir o seu trabalho. Isso divide as responsabilidades em duas, e a diferença importa-te:

Da conta de quem trabalha no estabelecimento

Dados de identificação e contacto (nome, email, telefone, NIF e morada quando indicados), o cargo dentro do estabelecimento e a fotografia de perfil, se a carregares. Se entrares com uma conta Google, Facebook, Apple ou Microsoft, recebemos dela o teu nome e o teu email — nunca a tua password, e nunca a fotografia: a tua foto de perfil aqui só existe se fores tu a carregá-la.

Guardamos também os dispositivos de onde entras — descrição do aparelho, endereço IP e data do último acesso — para te avisar quando alguém entra de um sítio novo e para poderes desligar sessões que não reconheças.

Se ligares os avisos no telemóvel, o sistema do teu aparelho emite um identificador de entrega e nós guardamo-lo, ligado à tua conta, para saber para onde mandar o aviso. Não é o registo do parágrafo anterior: aquele nasce quando entras, este só existe se pedires os avisos.

Para o apagar: quem trabalha num estabelecimento desliga os avisos no perfil, e o identificador do aparelho é apagado nesse estabelecimento; o "Desconectar dispositivos", também no perfil, apaga-o em todos os teus aparelhos nesse estabelecimento — pede a palavra-passe, e apaga também as sessões abertas. Se és cliente, não há interruptor na app: o identificador apaga-se quando sais da conta; se desinstalares a app, apaga-se no primeiro aviso que já não te consiga chegar.

A entrega em si é feita pelo fabricante do sistema — a Google no Android, a Apple no iPhone —, porque não há outra forma de um aviso chegar a um telemóvel. Isso significa que o texto do aviso passa por eles, e o texto pode conter o nome de uma cliente e a hora da marcação. É por isso que o aviso é marcado como conteúdo sensível: num Android, se tiveres a definição de ocultar conteúdo sensível no ecrã de bloqueio, o sistema esconde-o. Nada mais do teu histórico ou da tua agenda viaja por aí.

Do momento em que a conta é criada guardamos ainda o endereço IP e o aparelho de onde o registo foi feito, com o mesmo fim: poder investigar um acesso indevido e detetar fraude. Fica guardado enquanto a conta existir e é apagado com ela.

Dos clientes do estabelecimento

A maior parte destes dados é-nos fornecida pelo estabelecimento. Incluem identificação e contactos, data de nascimento, histórico de marcações e serviços, notas escritas pela equipa, preferências de lista de espera e o registo do consentimento de RGPD dado ao estabelecimento.

Se tiveres conta própria de cliente, há dados que nos dás diretamente: o email e a password que escolhes, ou — se preferires entrar com uma conta Google ou Facebook — o nome, o email e a fotografia de perfil que esse provedor nos envia, nunca a tua password. Usamos isso para reconhecer-te ao entrar, mostrar ao estabelecimento quem marcou, e dar suporte e manter a plataforma segura. Não lemos as tuas fotografias, as tuas publicações, a tua lista de amigos nem nada mais da tua conta social, e não publicamos nada em teu nome.

Se usares a app e ligares os avisos no telemóvel, guardamos o identificador que o sistema do telemóvel (Apple ou Google) dá a esse aparelho, ligado à tua conta. Serve só para te avisar das tuas marcações: a véspera, e quando o estabelecimento confirma, recusa, muda ou cancela alguma coisa. Nunca para publicidade. No ecrã bloqueado o aviso mostra o nome do estabelecimento e a hora, nunca o serviço. Desligas nas definições do telemóvel, e o identificador apaga-se com a tua conta ou quando o telemóvel o deixa de reconhecer.

Registo de atividade

Guardamos um registo das ações feitas dentro de cada estabelecimento — quem fez o quê e quando — para que quem o gere possa auditar a própria equipa e para detetar fraude. Esse registo não pode ser alterado nem apagado por ninguém, nem por nós: é essa imutabilidade que lhe dá valor como prova.

De quem visita a página inicial

Quando carregas em “perto de mim” na busca de salões, usamos a cidade aproximada a que corresponde o teu endereço IP para te mostrar os salões mais próximos. Essa localização não é guardada em lado nenhum, não é ligada a ti nem a nenhuma conta, e desaparece quando a página acaba de responder. Não te é pedida autorização porque não chegamos a recolher nada: o teu endereço IP já vem no pedido, como em qualquer site, e nunca é enviado a terceiros para isto.

De quem denuncia conteúdo

Nas páginas públicas dos estabelecimentos há um botão para denunciar conteúdo ofensivo, enganoso ou que não devia estar publicado — ao lado de cada avaliação e no fim da página. Não é preciso ter conta.

De uma denúncia guardamos o que foi denunciado, o motivo, o que escreveste, e ainda o teu endereço IP e o aparelho — estes dois só para travar quem abuse do próprio botão. O email é opcional e serve apenas para te respondermos: podes denunciar sem o deixar, e preferimos que o faças se tiveres receio de o fazer com o nome.

A denúncia vai para nós, nunca para o estabelecimento denunciado. Ele não vê quem denunciou, nem o teu email, nem o teu endereço IP — nem sequer consegue ver a denúncia. Falamos com ele antes de retirar seja o que for.

Com que fundamento legal

Onde invocamos interesse legítimo, o interesse é concreto: impedir que uma conta de estabelecimento seja tomada por outra pessoa e que o histórico financeiro seja adulterado por dentro. Limitámos a recolha ao mínimo necessário para isso, e podes opor-te (secção 7).

Quanto aos dados dos clientes do estabelecimento, o fundamento é escolhido pelo estabelecimento — tipicamente a execução do serviço contratado, e consentimento explícito para a ficha de saúde. Nós tratamo-los apenas segundo as instruções dele.

O que nunca fazemos: vender dados, usá-los para publicidade, cruzá-los entre estabelecimentos, ou usá-los para treinar seja o que for.

A ficha de anamnese pode conter alergias, doenças crónicas, medicação, gravidez, diabetes ou epilepsia, entre outros. São dados de saúde, que o artigo 9.º do RGPD trata como categoria especial. As fotografias de atendimento podem, pelo mesmo motivo, revelar informação sobre a pele ou o cabelo de alguém.

Fundamento: consentimento explícito do cliente, recolhido pelo estabelecimento (artigo 9.º-2-a). Um estabelecimento de beleza não é um estabelecimento de saúde e não pode apoiar-se nas exceções previstas para cuidados de saúde — sem consentimento explícito, a ficha não deve ser preenchida.

Estes dados têm proteção reforçada na prática, e não só na intenção: ficam sempre dentro da União Europeia, nunca são enviados para ferramentas técnicas de terceiros, e quem desenvolve a uBeauty não tem forma de os consultar — a ferramenta interna de suporte mostra apenas dados do estabelecimento e de quem o gere, mais contagens agregadas, nunca a ficha de uma pessoa.

A única imagem que nos pode chegar do teu estabelecimento é a que tu decides enviar: ao reportar um problema em Suporte, podes anexar até três capturas de ecrã. É sempre opcional, e pedimos-te que tapes ou cortes nomes, telefones e fichas de clientes antes de enviar. As capturas ficam no mesmo armazenamento das fotografias de atendimento, só as abre quem trata do suporte, cada abertura fica registada, e são apagadas quando o problema é resolvido, ou no máximo 30 dias depois.

Isto inclui o assistente de inteligência artificial descrito na secção 4: a ficha de saúde nunca lhe é enviada, em nenhuma circunstância e mesmo com o assistente ligado. Nem o assistente escreve fichas de saúde a partir do que leia num ficheiro ou numa fotografia — se um caderno importado contiver anotações sobre alergias ou gravidez, essa informação não é transposta automaticamente para a ficha; tem de ser uma pessoa a escrevê-la, com o consentimento explícito que esta secção exige.

Não vendemos nem cedemos dados a terceiros para fins próprios deles, com uma única exceção, que só acontece se aceitares e está descrita na secção 8. Recorremos a fornecedores que tratam dados por nossa conta, sob contrato escrito e apenas segundo as nossas instruções, nas seguintes categorias:

• Alojamento da aplicação e base de dados — onde a aplicação corre e onde os dados ficam guardados
• Armazenamento de ficheiros — as fotografias
• Envio de emails transacionais — confirmações, recuperação de password, avisos de segurança
• Monitorização técnica — deteção de avarias, com os dados pessoais já removidos antes do envio
• Medição de utilização e desempenho — quantas pessoas abrem cada página e quanto tempo demora a carregar, em contagens agregadas. Não usa cookies, não te segue entre sites e não guarda nada que te identifique
• Entrega de avisos no telemóvel — apenas se ligares os avisos. O serviço de notificações do sistema (Google no Android, Apple no iPhone) recebe o identificador do aparelho e o texto do aviso, para o entregar
• Autenticação social — apenas se escolheres entrar com uma conta social: Google, Facebook, Apple ou Microsoft para quem trabalha no estabelecimento; Google, Facebook ou Apple para quem tem conta de cliente
• Assistente de inteligência artificial — apenas se o estabelecimento o tiver ligado, e só para os dois fins descritos a seguir

A lista nominal e atualizada destes fornecedores é entregue a qualquer estabelecimento que a peça, como parte do contrato de subcontratação.

O assistente de inteligência artificial

Vem desligado. Só passa a funcionar se quem gere o estabelecimento o ligar, depois de um ecrã que explica o que é enviado e para onde — e pode ser desligado a qualquer momento, sem perder nada do que já está na conta.

Serve dois fins, e são deliberadamente diferentes um do outro:

• Trazer para dentro a lista de clientes que já existe — quando o estabelecimento carrega um ficheiro ou uma fotografia de uma agenda em papel, o conteúdo é lido automaticamente para não ter de ser escrito à mão. Aqui há dados pessoais no que é enviado: nome e contacto de quem estiver nesse ficheiro. Acontece uma vez, por ação explícita do estabelecimento, e o ficheiro não fica guardado depois de lido.
• Sugerir melhorias ao negócio — preços, horários, organização da equipa. Aqui não é enviado nenhum dado pessoal: o assistente recebe contagens e somas do negócio — por serviço e por hora do dia, o que fica depois das comissões, produtos vendidos e em stock, o valor das faltas, o que está por receber e o ritmo das metas —, mais a lista das sugestões que o estabelecimento já aceitou ou recusou, que é o que o impede de repetir uma ideia a quem já respondeu que não. Nenhum nome, contacto, email ou nota de cliente sai da base de dados para este fim, nem o nome de quem trabalha no salão.

Fundamento: execução do contrato com o estabelecimento (artigo 6.º-1-b), sob as instruções dele. O fornecedor trata os dados apenas para responder ao pedido, não os usa para treinar os seus próprios modelos e não os conserva depois de responder. As sugestões são propostas: aplicá-las ou ignorá-las é sempre decisão de uma pessoa (ver secção 11).

Podemos ainda ter de divulgar dados a autoridades quando a lei o exigir. Se acontecer, e se a lei o permitir, informamos o titular.

O conteúdo da aplicação — clientes, marcações, fichas de saúde, finanças — está guardado na União Europeia, e a monitorização técnica também.

Há uma exceção, e só existe nos estabelecimentos que ligaram o assistente de inteligência artificial (secção 4): nesse caso, o que é enviado para leitura automática é processado nos Estados Unidos. Não fica lá guardado — é lido, respondido e descartado —, mas sai da União Europeia durante esse momento, e é por isso que aparece aqui em vez de ficar implícito.

Essa transferência está coberta pelas cláusulas contratuais-tipo aprovadas pela Comissão Europeia, celebradas com o fornecedor. A ficha de saúde continua fora disto: nunca é enviada, com ou sem assistente ligado (secção 3).

Se aceitares o cookie da Meta nas páginas /business ou /registo (secção 8), o que ele recolhe vai para a Meta Platforms Ireland, que o pode tratar também nos Estados Unidos, ao abrigo do Quadro de Privacidade de Dados UE-EUA. Nada do conteúdo da aplicação segue por aí.

Fora destes dois casos de exclusão da conta, a aplicação não apaga registos sozinha: a remoção ou anonimização de um cliente é sempre uma decisão do estabelecimento, que a executa quando entender. A anonimização substitui nome, contactos, data de nascimento, notas e fotografia e revoga o consentimento, mantendo apenas o histórico contabilístico sem titular identificável.

Sobre os teus dados pessoais, tens direito a:

• Aceder — saber que dados temos e obter uma cópia
• Corrigir o que estiver errado ou incompleto
• Apagar, nos casos previstos na lei
• Limitar o tratamento enquanto uma contestação é analisada
• Receber os dados num formato de leitura automática, ou pedir que os enviemos a outro serviço
• Opor-te a tratamentos assentes em interesse legítimo
• Retirar o consentimento a qualquer momento, sem custo e sem afetar o que foi feito antes

Se tens conta connosco, escreve para support@ubeauty.studio. Se és cliente de um estabelecimento, o pedido faz-se ao estabelecimento; podes também responder ao email de confirmação de consentimento que recebeste. Se nos escreveres diretamente, encaminhamos para o estabelecimento e dizemos-te que o fizemos.

Respondemos no prazo de um mês, prorrogável por mais dois em pedidos complexos, caso em que te avisamos e explicamos porquê. É gratuito.

Na aplicação, na área de cliente e nas páginas dos estabelecimentos, os cookies que usamos são estritamente necessários ao serviço que pediste, ou resultam de uma escolha explícita tua — o que os dispensa de consentimento prévio. Viajam sempre cifrados. Não há ali cookies de publicidade nem de seguimento entre sites.

A única exceção: o cookie da Meta

Em duas páginas, e só nelas — a apresentação da uBeauty para estabelecimentos (/business) e a criação de conta de um estabelecimento (/registo) —, perguntamos se aceitas o pixel da Meta, a empresa do Instagram e do Facebook. Serve para sabermos se os nossos anúncios trazem estabelecimentos novos, e para os mostrar a quem tem mais probabilidade de se interessar.

Enquanto não aceitares, nada da Meta é carregado. Se recusares, fica assim. Se aceitares, o teu navegador passa a comunicar com a Meta nessas duas páginas, e ela recebe: a página que abriste, se começaste e se terminaste a criação de conta, o teu endereço IP, dados do navegador e do aparelho, e um cookie dela (_fbp) que a ajuda a reconhecer o mesmo navegador.

Nunca lhe enviamos o que escreves no formulário — email, telefone, nome, nome do estabelecimento ou NIF —, e a leitura automática de formulários da Meta está desligada nas definições do pixel. Não existe na aplicação, na área de cliente, nas páginas dos estabelecimentos, nem dentro da app para iPhone ou Android.

Fundamento: o teu consentimento (art.º 6.º-1-a do RGPD e art.º 5.º da Lei n.º 41/2004). Na recolha e envio desses dados, nós e a Meta Platforms Ireland somos responsáveis conjuntos; o que a Meta faz depois com eles rege-se pela política de privacidade dela, em facebook.com/privacy/policy.

Guardamos a tua resposta num cookie nosso durante 6 meses. Podes mudar de ideias a qualquer momento em “Preferências de cookies”, no fundo das páginas /business e /registo, ou apagando os cookies do navegador. Ao recusares, apagamos também o cookie da Meta. Retirar o consentimento não torna ilegal o que foi feito antes.

Cada estabelecimento pode publicar um endereço com a sua página, para os clientes verem quando há vaga. É uma página aberta, sem sessão, que mostra apenas disponibilidade.

A página está desligada por omissão. Cada profissional pode retirar-se dela, o estabelecimento pode ocultar os nomes da equipa, e pode desligá-la ou trocar o link a qualquer momento — o que invalida de imediato qualquer endereço já divulgado.

Quando o estabelecimento publica a morada, a página mostra um mapa do Google Maps. Esse mapa é carregado a partir dos servidores do Google, o que significa que o teu navegador comunica com o Google ao ver essa parte da página — e o Google fica a saber o teu endereço IP, como acontece em qualquer site com um mapa. Não lhe dizemos que página estás a ver, e o mapa só carrega se chegares mesmo a essa secção. O estabelecimento pode desligar a secção inteira.

Quando o estabelecimento grava a morada, os nossos servidores enviam-na ao Google para confirmar que ela existe e obter as coordenadas com que o mapa é desenhado. É só a morada do estabelecimento — nenhum dado de clientes ou da equipa segue com ela.

A página com o mapa dos salões desenha o mapa com imagens da OpenFreeMap, um serviço gratuito de mapas. Ao abrir essa página, o teu navegador pede-lhe essas imagens e, por isso, ela recebe o teu endereço IP. A OpenFreeMap não usa cookies e diz que não guarda o IP nos seus registos. Para te mostrar primeiro os salões da tua zona usamos a cidade aproximada do teu IP, sem a guardar e sem a pôr no endereço da página. Não pedimos a tua localização exata.

As passwords não são recuperáveis por ninguém, nem por nós. O acesso às contas é protegido por verificação adicional, as ligações são sempre cifradas, e cada acesso de um dispositivo novo ou alteração de segurança na conta dá origem a um aviso por email. Os dados mais sensíveis, como a ficha de saúde, as notas e as mensagens da equipa, ficam guardados cifrados. A segurança é verificada de forma automatizada antes de cada publicação.

O serviço destina-se a profissionais: as contas de trabalho não devem ser criadas por menores de 18 anos. Um estabelecimento pode ter clientes menores de idade — nesse caso cabe ao estabelecimento obter o consentimento de quem exerce as responsabilidades parentais, em especial para a ficha de saúde e para fotografias.

Não tomamos decisões exclusivamente automatizadas com efeitos significativos sobre ninguém, nem fazemos definição de perfis. As sugestões que a aplicação faz são propostas ao estabelecimento, que decide sempre uma pessoa.

Isto vale também para o assistente de inteligência artificial (secção 4): ele propõe alterações ao negócio — um preço, um horário — e não as aplica. Nada muda na conta enquanto alguém não carregar no botão. E as sugestões são sobre o negócio, não sobre pessoas: o assistente não avalia, classifica nem pontua clientes.

Se mudarmos alguma coisa relevante — uma finalidade nova, um prazo diferente — atualizamos esta página e a data no topo. Se a mudança for significativa, avisamos por email os titulares de conta antes de entrar em vigor.