Política de privacidade

Quem somos

O Teamfold é explorado por [denominação social], [morada], [NIPC] («nós»). Contacto para questões de privacidade: [email de privacidade].

Os nossos dois papéis

Relativamente aos dados de conta das pessoas que se registam e aos contactos de faturação, atuamos como responsável pelo tratamento.

Relativamente aos dados que as organizações introduzem no Teamfold sobre os seus membros (registos de horários, reuniões, bases de dados personalizadas), a organização cliente é a responsável pelo tratamento e nós atuamos como subcontratante, ao abrigo de um acordo de tratamento de dados (art. 28.º do RGPD). Os trabalhadores devem dirigir os pedidos sobre esses dados, em primeiro lugar, à entidade empregadora.

Dados tratados

Conta: nome, email, hash da palavra-passe (nunca a palavra-passe em si), preferência de idioma, sessões (informação do dispositivo e última atividade).

Conteúdo do espaço de trabalho: membros e funções, registos de presença com data e hora e histórico de correções, incluindo a justificação e o autor, reuniões e participantes, e conteúdo das bases de dados personalizadas.

Faturação: gerida pela Stripe. Guardamos os identificadores de cliente e de subscrição da Stripe, os montantes e o estado das faturas; nunca recebemos o número completo do cartão.

Registos técnicos: endereço IP para efeitos de segurança e limitação de pedidos, conservado por um período curto.

Finalidades e fundamentos de licitude

Prestação do serviço e gestão da conta (execução de contrato); segurança e prevenção de fraude (interesse legítimo); obrigações de faturação e contabilidade (obrigação legal); estatísticas opcionais que respeitam a privacidade, apenas com consentimento.

As entidades empregadoras que utilizam o registo de horários devem informar os seus trabalhadores e assentar o tratamento num fundamento adequado à luz da legislação laboral; o Teamfold disponibiliza ferramentas de transparência (histórico de alterações visível para a pessoa em causa, exportação de dados).

Conservação

Os dados de conta são conservados enquanto a conta existir. Cada organização define durante quanto tempo conserva os registos de horários (por omissão, 60 meses). Os registos de faturação são conservados pelo prazo exigido pela legislação fiscal. As contas eliminadas são removidas; os registos de horários conservados pela entidade empregadora são anonimizados.

Destinatários e transferências

Subcontratantes: fornecedor de alojamento e base de dados [fornecedor, região], Stripe (pagamentos), [fornecedor de email] (emails transacionais). Quando os dados saem do EEE, as transferências assentam em decisões de adequação ou em cláusulas contratuais-tipo.

Os seus direitos

Pode aceder, retificar, exportar e apagar os seus dados, opor-se ao tratamento ou pedir a sua limitação, e retirar o consentimento. A maioria destas ações está disponível no seu perfil (exportação de dados e eliminação da conta). Tem o direito de apresentar reclamação à autoridade de controlo (em Portugal, a CNPD).

Segurança

As palavras-passe são guardadas com hash scrypt, as sessões usam cookies seguros HTTP-only, o acesso é controlado no servidor e com segurança ao nível das linhas da base de dados, e os dados são cifrados em trânsito.