Informação legal

Quem trata os teus dados

Responsável pelo tratamento: Bruno André Madeira Lima, pessoa singular — responsável atual pelo projeto klize (a sociedade klize ainda não está constituída).

NIF: 223959138. Morada: Av. Dr. Renato Araújo 509, 2.º andar, 3700-244 São João da Madeira, Portugal. Contacto para privacidade e exercício de direitos: klize.pt@gmail.com.

Não foi designado nenhum Encarregado de Proteção de Dados (EPD/DPO) nesta fase — usa o contacto acima para qualquer questão de privacidade.

Que dados recolhemos

Dados de identificação e conta: nome, apelido, data de nascimento, número de telemóvel (usado como identificação/login) e palavra-passe (nunca guardada em texto simples).

Email de contacto (obrigatório): é um dado obrigatório da tua conta de cliente — sem um endereço de email válido não é possível concluir o registo. Não serve para entrar na KLIZE (o acesso continua a ser feito com o número de telemóvel e a palavra-passe); pode ser usado, quando aplicável, para a administração da tua conta, recuperação de acesso, segurança, e comunicações importantes e juridicamente relevantes — por exemplo, o pré-aviso de uma alteração material aos Termos & Condições. Nunca é usado para detalhe de compras individuais. O envio de comunicações de marketing por email depende de um consentimento separado e opcional, que nunca é assumido a partir deste campo.

Data de nascimento: pedimo-la no registo com uma única finalidade — confirmar que tens pelo menos 18 anos, condição para ter conta KLIZE. Guardamos a data, e não a idade, e guardamos também a confirmação de que declaraste ter 18 anos ou mais e o momento em que o fizeste. Não usamos a tua data de nascimento para marketing, publicidade, segmentação, definição de perfis nem ofertas automáticas, e não a partilhamos com comerciantes nem com instituições solidárias. Se a data que indicaste corresponder a menos de 18 anos, a conta não é criada e esses dados não ficam guardados.

Histórico de consentimentos/apresentações: registo de quando aceitaste os Termos & Condições, de quando te foi apresentada esta Informação de Privacidade, e do teu estado de consentimento de Marketing ao longo do tempo.

Dados de utilização da plataforma: saldo acumulado e utilizado, histórico de transações (loja, valor, data, cashback gerado), impacto solidário acumulado, código de identificação de cliente (QR Code dinâmico, gerado e trocado periodicamente).

Programa de referência ("bónus de amizade"): o teu código de convite; a associação entre a tua conta e a conta de quem te convidou, ou de quem convidaste; o estado e os montantes dos bónus gerados, pendentes e disponibilizados; e, quando exista, o valor a compensar em bónus futuros e o respetivo histórico de movimentos.

Sobre essa associação, especificamente: quando um convite é associado, fica registada uma relação de referenciação entre duas contas KLIZE. Essa relação constitui informação pessoal relativa a ambos os titulares — não é derivável de nenhum outro dado que tratemos, e é tratada com esse cuidado —, sem que daí resulte necessariamente a existência de qualquer relação pessoal entre os dois. Não recolhemos contactos de terceiros para convidar ninguém: a KLIZE não envia convites por SMS, email ou qualquer outro meio em teu nome.

Notificações in-app: registo das notificações que te enviamos dentro da própria KLIZE.

Dados técnicos estritamente necessários: podem ser tratados, por nós ou pelos nossos fornecedores técnicos, dados como IP, registos de acesso, cabeçalhos de pedido, ou dados de verificação anti-abuso, na medida estritamente necessária à segurança, autenticação, prevenção de abuso, funcionamento do serviço, e diagnóstico técnico.

Não pedimos morada (exceto a nossa própria, enquanto responsável pelo tratamento) e não guardamos imagens/frames da câmara durante a leitura de QR Code — essa leitura acontece inteiramente no dispositivo do comerciante.

Mapa das lojas aderentes: a lista é sempre a forma principal de consultar as lojas e não carrega nada de terceiros. O mapa é opcional e serve para localizar as lojas e consultar o cashback de cada uma. Antes de o abrires pedimos o teu consentimento específico ("Aceitar e abrir mapa"); só depois disso o teu browser começa a pedir as imagens do mapa aos servidores do OpenStreetMap (ver "Fornecedores técnicos"). Se escolheres "Continuar na lista", nada é pedido ao OpenStreetMap. A escolha vale enquanto estiveres nessa página: ao voltar a entrar, perguntamos de novo.

Retirar o consentimento: com o mapa aberto, "Fechar mapa e retirar consentimento" fecha o mapa de imediato, impede novos pedidos e volta à lista. A retirada não afeta os pedidos feitos antes dela, e a KLIZE não consegue apagar pedidos já enviados ao OpenStreetMap nem imagens guardadas na memória (cache) do teu browser.

Registo da tua escolha: para provar o consentimento, registamos cada aceitação e cada retirada, com a data e a versão do aviso que te foi mostrado, associadas à tua conta. Não registamos a tua localização nem as zonas do mapa que vês.

A tua localização no mapa: só é pedida se tocares em "A minha localização", e é o teu browser que te pede autorização. As coordenadas são usadas no teu dispositivo para centrar o mapa: não são enviadas à KLIZE, não são guardadas e não são partilhadas com as lojas. Atenção, porém: ao centrar o mapa onde estás, as imagens dessa zona passam a ser pedidas ao OpenStreetMap, que pode assim ficar a saber, de forma aproximada, a área que estás a ver.

Para que usamos os teus dados, e com que fundamento jurídico

Execução de contrato / diligências pré-contratuais (artigo 6.º, n.º 1, alínea b) RGPD): criar e gerir a tua conta, verificar no registo que cumpres a idade mínima de 18 anos (a partir da data de nascimento), autenticação, identificação junto de comerciantes, funcionamento do programa (saldo/cashback, instituição solidária), notificações operacionais.

Execução de contrato (artigo 6.º, n.º 1, alínea b) RGPD), quanto ao programa de referência: registar a associação entre quem convida e quem foi convidado, calcular os bónus, disponibilizá-los quando a condição se verifica, evitar atribuições duplicadas, e apurar valores a compensar quando uma compra é revertida. O programa é uma funcionalidade do serviço a que aderes, e não uma finalidade acessória — por isso NÃO tratamos estes dados com base em consentimento, e a existência de um botão para copiar o teu código de convite não é um consentimento.

Interesses legítimos (artigo 6.º, n.º 1, alínea f) RGPD), quanto ao programa de referência: prevenir e detetar autorreferência, contas criadas artificialmente e outras utilizações abusivas do programa, e conservar a prova necessária à reconciliação dos valores atribuídos.

Cumprimento de obrigação jurídica (artigo 6.º, n.º 1, alínea c) RGPD): quando aplicável a um tratamento concreto.

Interesses legítimos, após ponderação (artigo 6.º, n.º 1, alínea f) RGPD): segurança da tua conta e da rede KLIZE, prevenção de fraude, proteção da plataforma, defesa de direitos jurídicos, auditoria técnica estritamente necessária.

Consentimento (artigo 6.º, n.º 1, alínea a) RGPD): envio de comunicações de marketing por email, em articulação com o regime português de comunicações eletrónicas de marketing.

Consentimento (artigo 6.º, n.º 1, alínea a) RGPD), quanto ao mapa das lojas: o teu browser só contacta o OpenStreetMap depois de carregares em "Aceitar e abrir mapa". Este consentimento é específico do mapa: não está ligado ao marketing, aos Termos & Condições nem à criação de conta, e não há opções previamente selecionadas. Recusar não tem consequências — todas as lojas, com o cashback e a morada, continuam na lista. Podes retirá-lo a qualquer momento, sem afetar a licitude do que aconteceu antes. A KLIZE não usa o mapa para publicidade nem para medir a tua atividade.

Não usamos "interesse legítimo" como fundamento genérico/universal — cada finalidade acima tem o fundamento especificamente indicado.

Com quem partilhamos dados

Comerciantes aderentes: veem apenas o mínimo necessário para te identificar numa compra (ex.: primeiro nome + inicial). Não veem o teu apelido completo, a tua data de nascimento, o teu telemóvel nem o teu email. Não têm acesso a nada relativo ao programa de referência — nem à existência de uma associação, nem aos bónus.

Instituições solidárias: não recebem os teus dados pessoais. Uma instituição autorizada pode aceder a um painel próprio com valores AGREGADOS do impacto solidário gerado para si — totais por mês, por trimestre e acumulados, o número de compras elegíveis que os originaram, e o histórico das entregas trimestrais. Esse painel não inclui o teu nome, telemóvel, email ou qualquer identificador teu, não inclui compras individuais, não inclui lojas, e não inclui datas de compras concretas.

Sobre esses agregados, com honestidade: são valores totais e não contêm identificadores. Não afirmamos que seja matematicamente impossível fazer inferências a partir de números agregados quando o volume de atividade é muito baixo — o que garantimos é que nenhum dado pessoal, nenhuma compra individual e nenhum identificador teu são facultados à instituição.

Programa de referência: quem te convidou não vê as tuas compras, nem os seus valores, nem as lojas, nem as datas. Vê apenas os totais dos bónus da própria conta e quantas pessoas se registaram com o convite dele. Tu também não vês os bónus de quem te convidou.

Ainda sobre isto, e porque preferimos dizê-lo: se quem te convidou tiver convidado apenas uma pessoa — tu —, a variação dos totais da conta dele pode permitir-lhe deduzir que fizeste uma compra e o valor aproximado dela. Não lhe mostramos essa informação, mas ela é aritmeticamente dedutível nessa situação específica. Esta limitação está identificada e em avaliação.

Fornecedores técnicos que suportam a plataforma: ver secção de fornecedores abaixo.

Não vendemos os teus dados pessoais a terceiros.

Fornecedores técnicos

Supabase — autenticação, base de dados, backend/API da aplicação. Ativo.

Twilio — envio de SMS de verificação/autenticação (OTP). Ativo. O envio é feito através do Supabase Auth, com o Twilio configurado nessa plataforma: a relação é indireta.

Brevo — envio de email transacional da KLIZE (confirmação do email de contacto e comunicações jurídicas, como o pré-aviso de alterações materiais aos Termos) e registo dos respetivos eventos de entrega. Trata o teu endereço de email, o identificador da mensagem no fornecedor e os eventos de entrega (entregue, devolvido, bloqueado). Não é guardada prova de leitura. O envio real de emails está, nesta fase, desligado.

Cloudflare Turnstile — proteção anti-abuso/bot na criação de conta, no início de sessão e no reenvio do código de verificação. Ativo.

Vercel — alojamento e deployment da aplicação, incluindo o serviço público em klize.pt. Ativo.

OpenStreetMap Foundation (OSMF, Reino Unido) — fornece as imagens do mapa das lojas aderentes (tile.openstreetmap.org), distribuídas através da rede de distribuição de conteúdos da Fastly, Inc. (Estados Unidos). Só depois de aceitares abrir o mapa, o teu browser pede essas imagens diretamente a esses servidores, que recebem os dados técnicos de qualquer pedido na Internet: o teu endereço IP, dados do browser e do sistema operativo, e a origem klize.pt (sem o endereço completo da página em que estás). Os próprios pedidos indicam a área e o nível de aproximação do mapa que consultas. A KLIZE não envia à OSMF o teu nome, contactos, saldo nem as coordenadas da tua localização. Segundo a própria OSMF, ela atua como responsável pelo tratamento independente e não trata dados pessoais por conta da KLIZE (osmfoundation.org/wiki/Services_and_tile_users_privacy_FAQ); trata-os segundo a sua política de privacidade (osmfoundation.org/wiki/Privacy_Policy) e as condições do seu serviço de mapas (operations.osmfoundation.org/policies/tiles). A KLIZE não tem contrato com a OSMF nem com a Fastly.

Google (ligação "Como chegar") — a KLIZE não integra serviços da Google na aplicação. Se tocares em "Como chegar", abre-se o Google Maps com as coordenadas da loja como destino; o teu browser faz então pedidos à Google, que recebe o teu endereço IP e os dados do teu browser e os trata segundo as suas próprias condições e política de privacidade. A ligação não indica à Google a página da KLIZE de onde vens.

À medida que novos fornecedores forem efetivamente ativados, esta secção será atualizada.

Transferências internacionais de dados

Alguns dos nossos fornecedores tecnológicos podem efetuar tratamentos ou permitir acessos a partir de localizações fora do Espaço Económico Europeu (EEE). Não afirmamos, nesta versão, que todos os dados ficam exclusivamente dentro do EEE.

Quando ocorrer uma transferência internacional, a KLIZE assegurará a utilização de mecanismos previstos no RGPD, incluindo, quando aplicável: decisões de adequação, cláusulas contratuais-tipo, ou outros mecanismos legalmente reconhecidos.

Não indicamos aqui uma localização concreta para cada tratamento, porque essa confirmação — a região de cada fornecedor, os subprocessadores efetivamente utilizados e os contratos aplicáveis — está a ser feita e ainda não está concluída. Preferimos não afirmar uma localização a afirmá-la sem a ter verificado.

Mapa das lojas: a OSMF está no Reino Unido, país abrangido por uma decisão de adequação da Comissão Europeia (renovada em dezembro de 2025, válida até 27 de dezembro de 2031). As imagens são entregues pela rede global da Fastly, Inc., empresa dos Estados Unidos que declara estar certificada no EU-U.S. Data Privacy Framework; o servidor que atende o pedido do teu browser é determinado pela rota entre a tua ligação e a Fastly, e pode estar fora do Espaço Económico Europeu.

Quanto tempo guardamos os teus dados

Registo iniciado e não concluído: se começares a criar conta e não terminares, guardamos o que já preencheste durante 30 dias contados desde a última vez que mexeste no processo — para que o possas retomar. Passado esse prazo sem qualquer atividade, a identidade e os dados associados são eliminados.

Conta ativa: enquanto a tua conta existir, guardamos os dados necessários para te prestar o serviço.

Depois de encerrares a conta: os dados pessoais que deixem de ser necessários são eliminados ou tornados anónimos no prazo máximo de 30 dias. Continuam conservados apenas os elementos que tenhamos de manter por obrigação legal, por necessidade contabilística ou fiscal, ou para defesa de direitos. O teu nome, apelido e data de nascimento seguem esta regra: não ficam guardados durante o prazo contabilístico ou fiscal só porque existem registos financeiros com prazo próprio.

Registos técnicos e de segurança que a KLIZE controla diretamente: 90 dias. Este prazo pode ser ultrapassado num caso concreto quando exista um incidente de segurança, uma investigação de fraude, um litígio, ou uma obrigação legal específica que exija conservar mais tempo — e apenas enquanto essa razão durar.

Sobre os registos dos nossos fornecedores técnicos, com honestidade: alguns registos de acesso e de funcionamento são gerados e conservados pelos próprios fornecedores, segundo a configuração e o contrato aplicáveis a cada um. Não afirmamos que eliminamos esses registos em 90 dias, porque essa retenção não é integralmente controlada por nós.

Documentos e registos sujeitos a obrigação contabilística ou fiscal: quando essa obrigação se aplique, são conservados pelo prazo legal correspondente, que em Portugal é atualmente de 10 anos. Isto vale para o documento ou registo e para os dados estritamente necessários a cumprir essa obrigação — e não significa que todos os teus dados pessoais fiquem guardados durante 10 anos.

Prova de aceitação dos Termos, de apresentação desta informação e do histórico de consentimento de marketing: estes registos existem precisamente para provar o que aconteceu e quando. O prazo específico de conservação está a ser fixado com revisão jurídica e será indicado numa versão futura desta informação.

Os teus direitos

Quando aplicável, podes exercer: acesso, retificação, apagamento, limitação do tratamento, oposição, portabilidade, e retirada do consentimento de marketing a qualquer momento. Contacta-nos através do contacto de privacidade indicado acima.

O apagamento pode não ser possível de forma imediata quando exista uma obrigação legal ou outro fundamento que exija conservação (ex.: histórico de consentimentos/eventos legais como prova).

Programa de referência, e o que é concretamente possível: a pedido válido de qualquer das pessoas envolvidas, a associação de referência pode deixar de produzir efeitos para compras futuras. A partir daí, as compras seguintes deixam de gerar qualquer benefício ligado a essa associação. O que já tinha sido gerado antes não é apagado: os benefícios já atribuídos mantêm-se e os pendentes seguem o seu percurso, e os registos financeiros necessários à reconciliação e ao cumprimento de obrigações contabilísticas e legais continuam conservados pelos prazos aplicáveis.

Duas limitações que preferimos dizer com clareza. Primeira: a associação histórica não pode ser substituída por outra — não é possível passar a ter um convite diferente associado à conta, mesmo depois de a associação deixar de produzir efeitos. Segunda: enquanto os registos financeiros associados tiverem de ser conservados, a ligação entre as duas contas não é integralmente eliminada. Quando essa ligação deixar de ser necessária, fica sujeita às regras de minimização e de conservação descritas em "Quanto tempo guardamos os teus dados".

Tens também o direito de apresentar reclamação junto da autoridade de controlo em Portugal: CNPD — Comissão Nacional de Proteção de Dados.

Alterações a esta informação

Podemos atualizar esta Informação de Privacidade. Alterações não materiais não exigem nova apresentação; alterações materiais serão comunicadas de forma adequada antes de continuares a usar a KLIZE.