Política de Privacidade

Última atualização: 10 de setembro de 2026 · Versão 1.4

1. Responsável pelo tratamento

Dinastia Diligente Unipessoal LDA (Sociedade Unipessoal por Quotas), NIF 515 009 970, com sede em Rua António França Borges, n.º 16, 1.º esq., 2625-187 Póvoa de Santa Iria, Portugal. Contacto: hello@alwaysimple.com.

2. Encarregado de Proteção de Dados (DPO)

Para questões sobre proteção de dados, contacte hello@alwaysimple.com. A designação de DPO não é obrigatória para a nossa atividade; este é o ponto de contacto para o efeito.

3. Que dados recolhemos

3.1. Dados do cliente-empresário (relação B2B)

Nome, email, telefone, NIF, dados da empresa e dados de pagamento. Os dados de pagamento são tratados diretamente pela Stripe — não armazenamos números de cartão.

3.2. Dados dos clientes finais do empresário (tratados por sua conta)

Ao prestar o Serviço, tratamos dados dos clientes finais do empresário: nome, telefone, mensagens de WhatsApp, preferências de reserva e — no serviço de voz — o conteúdo da chamada processado em tempo real (ver 3.3, sem conservação). Relativamente a estes dados, a Always Simple atua como subcontratante (processor) e o empresário é o responsável pelo tratamento (controller).

3.3. Assistente de voz e chamadas (sem gravação)

Quando liga para um estabelecimento que utiliza o serviço de voz da Always Simple, a chamada é atendida por um assistente virtual. A conversa é processada em tempo real e não é guardada — não conservamos áudio, transcrição nem resumo. Os dados do seu pedido (p. ex. nome, contacto e detalhes da reserva) são transmitidos ao estabelecimento (por WhatsApp/SMS) para o atender; o estabelecimento é o responsável pelo tratamento desses dados e a Always Simple atua como subcontratante. Para efeitos de faturação ao estabelecimento conservamos apenas metadados sem conteúdo (identificador do estabelecimento, duração e data/hora da chamada). Fila de entrega: para garantir que o seu pedido chega ao estabelecimento mesmo que a entrega falhe momentaneamente, o resultado estruturado da chamada (o pedido de marcação ou o recado: nome, contacto e o que pediu — nunca o áudio nem a transcrição) fica guardado cifrado apenas até ser entregue, e no máximo 72 horas; depois da entrega o conteúdo é apagado de imediato e ficam só metadados de entrega durante 7 dias. Para gerir os seus dados junto do estabelecimento, ou exercer os seus direitos, contacte o estabelecimento ou hello@alwaysimple.com.

Dados de saúde (clínicas e consultórios). Em estabelecimentos de saúde a assistente pede apenas o motivo geral da consulta e se é a primeira vez ou um seguimento. Não solicita, não repete nem regista sintomas, medicação, exames ou outros dados de saúde (categoria especial de dados, artigo 9.º do RGPD); se o cliente os mencionar durante a chamada, não são conservados nem transmitidos ao estabelecimento — apenas a marcação (especialidade, dia e hora, nome e contacto).

3.4. Dados de contas Google (Google Calendar e Perfil da Empresa no Google)

O empresário pode, opcionalmente, ligar a sua conta Google à Always Simple no painel de gestão, através do ecrã de consentimento OAuth da Google. Pedimos apenas os âmbitos (scopes) estritamente necessários a cada funcionalidade:

• Google Calendar (calendar.events e calendar.freebusy): consultamos os períodos ocupados e livres do calendário escolhido pelo empresário, para a assistente não marcar sobre compromissos existentes, e criamos nesse calendário os eventos correspondentes às marcações recebidas. Não lemos o conteúdo dos restantes eventos, nem contactos, nem e-mails.
• Perfil da Empresa no Google (business.manage): lemos as avaliações públicas da ficha do empresário e publicamos, em seu nome e apenas após a sua aprovação no painel, respostas a essas avaliações. Não alteramos outros dados da ficha.

Conservamos apenas o mínimo necessário para manter a ligação: um token de atualização cifrado e o identificador do calendário ou da ficha escolhidos. Os dados obtidos das APIs Google são usados exclusivamente para prestar estas funcionalidades, visíveis ao empresário no painel; não são vendidos, não são usados para publicidade nem para treinar modelos de IA e não são partilhados com terceiros, salvo os subcontratantes da secção 6, na medida estritamente necessária à prestação do serviço. O empresário pode desligar a integração a qualquer momento no painel ou revogar o acesso em myaccount.google.com/permissions; nesse momento eliminamos o token e deixamos de aceder à conta Google.

A utilização e a transferência de informação recebida das APIs Google pela Always Simple cumprem a Política de Dados do Utilizador dos Serviços de API Google, incluindo os requisitos de Utilização Limitada (Limited Use).

3.5. Como protegemos os dados (medidas de segurança, incluindo dados sensíveis e dados Google)

Aplicamos medidas técnicas e organizativas adequadas ao risco (RGPD, art. 32.º). Em concreto:

• Cifra em trânsito: todas as ligações — site, painel, APIs, webhooks de telefonia e chamadas às APIs Google — usam TLS 1.2 ou superior. Não há canais em texto simples.
• Cifra em repouso das credenciais e dos dados sensíveis: os tokens de acesso Google (token de atualização) e as demais credenciais de integrações são guardados cifrados com AES-256-GCM, com a chave de cifra mantida fora da base de dados, no ambiente do servidor; a fila de entrega ao estabelecimento (pedido de marcação ou recado) é igualmente cifrada e apagada no máximo ao fim de 72 horas. A base de dados e as cópias de segurança são cifradas em repouso pelo fornecedor (Supabase, UE).
• Minimização e limitação de acesso aos dados Google: pedimos apenas calendar.events e calendar.freebusy (e business.manage só para a ficha da empresa); lemos apenas os períodos ocupados do calendário escolhido e criamos, alteramos ou cancelamos apenas os eventos de marcação criados pela assistente. Não lemos o conteúdo de outros eventos, contactos, e-mail ou ficheiros. Os dados Google nunca são usados para publicidade, perfis ou treino de modelos.
• Controlo de acesso: cada estabelecimento só acede aos seus próprios dados (isolamento por cliente na base de dados com Row Level Security); o painel usa sessões assinadas com prazo e pode ser terminado em todos os dispositivos; as chaves e segredos vivem apenas em variáveis de ambiente, nunca no código; o acesso administrativo está limitado ao mínimo de pessoas e protegido por autenticação forte.
• Registos sem dados pessoais: os registos técnicos não contêm áudio, transcrições nem números de telefone completos; a monitorização do serviço verifica a disponibilidade e alerta a nossa equipa, sem expor dados de utilizadores.
• Revogação e eliminação: ao desligar a integração no painel, o token é apagado de imediato e o acesso é revogado junto da Google; o empresário pode igualmente revogar em myaccount.google.com/permissions. No fim do contrato os dados são eliminados nos prazos da secção 5.
• Incidentes: em caso de violação de dados pessoais, notificamos a CNPD no prazo de 72 horas e os titulares afetados quando exigido (RGPD, arts. 33.º e 34.º).

Summary for Google API reviewers (English): Google user data obtained through the Calendar API (calendar.events, calendar.freebusy) is used only to check busy/free periods of the calendar selected by the business owner and to create, update or cancel the appointment events created by our assistant. Refresh tokens are stored encrypted at rest with AES-256-GCM, with the key kept outside the database; all data is encrypted in transit (TLS 1.2+); access is isolated per customer (row-level security) and limited to the minimum staff; tokens are deleted and access is revoked immediately when the owner disconnects; we never use Google data for advertising, profiling or model training, and we comply with the Limited Use requirements of the Google API Services User Data Policy.

4. Finalidades e fundamentos legais

5. Prazos de conservação

6. Subcontratantes

Recorremos aos seguintes subcontratantes, ao abrigo de contratos de tratamento de dados:

7. Transferências internacionais

Alguns subcontratantes tratam dados fora do Espaço Económico Europeu (designadamente nos EUA). Essas transferências realizam-se ao abrigo de garantias adequadas do RGPD — em especial as Cláusulas Contratuais-Tipo (SCC) da Comissão Europeia (art. 46.º) e, quando aplicável, do EU-US Data Privacy Framework. Pode solicitar informação sobre estas garantias através de hello@alwaysimple.com.

8. Os seus direitos

Nos termos dos artigos 15.º a 22.º do RGPD, tem o direito de aceder, retificar, apagar, opor-se, limitar e solicitar a portabilidade dos seus dados, bem como retirar o consentimento a qualquer momento (sem afetar a licitude do tratamento anterior). Para exercer estes direitos, contacte hello@alwaysimple.com. Respondemos no prazo de 30 dias. Se for cliente final de um empresário que utiliza a Always Simple, deve dirigir o seu pedido a esse empresário (responsável pelo tratamento); encaminharemos ou apoiaremos quando aplicável.

9. Decisões automatizadas

Utilizamos inteligência artificial no funcionamento do Serviço, mas não tomamos decisões automatizadas que produzam efeitos jurídicos ou que afetem significativamente os titulares sem intervenção humana.

10. Direito a reclamação

Pode apresentar reclamação à autoridade de controlo: CNPD — Comissão Nacional de Proteção de Dados (geral@cnpd.pt, www.cnpd.pt).