Política de Privacidade

1. Quem é responsável pelos seus dados

A KuKA é operada por Vírgula Majestosa Unipessoal, Lda, NIPC 519131410, com sede em Largo República da Turquia 6, Lumiar, Lisboa, Portugal ("KuKA", "nós").

Contacto para qualquer assunto de privacidade: support@getkuka.com.

O nosso papel depende da situação:

• Responsável pelo tratamento quanto aos dados dos visitantes dos nossos sítios, de quem pede a demonstração, dos clientes empresariais e dos seus administradores, aos dados de faturação, aos registos de segurança e de operação e às estatísticas da página inicial.
• Subcontratante quanto aos dados que um restaurante ou grupo (o nosso cliente empresarial) introduz na KuKA ou gera através dela sobre os seus clientes de mesa, pedidos e colaboradores. Nesse caso, o restaurante é o responsável pelo tratamento e nós atuamos segundo as suas instruções documentadas, nos termos do tratamento de dados da secção 10 dos Termos de Serviço para Parceiros.

Se é cliente de mesa e tem dúvidas sobre o seu pedido ou a sua conta, dirija-se primeiro ao restaurante.

2. Âmbito desta política

Esta política abrange os sítios Web da KuKA (getkuka.com, www.getkuka.com) e a aplicação KuKA (app.getkuka.com), incluindo as páginas de registo e de demonstração, o backoffice, os ecrãs do pessoal e as páginas de cliente abertas através de um código QR na mesa. A KuKA está disponível em inglês, português europeu, português do Brasil, francês, espanhol, neerlandês, alemão, italiano, chinês simplificado e japonês. As versões destinam-se a ter o mesmo significado.

Não abrange sítios ou serviços de terceiros para os quais remetemos ou a que aceda a partir da KuKA, como o Stripe Checkout. Aí aplicam-se as políticas desses terceiros.

3. Que dados recolhemos

Visitantes dos nossos sítios

• Dados técnicos enviados pelo browser quando uma página é carregada: endereço IP, tipo de browser e de dispositivo (user agent), endereço pedido, data e hora. Os nossos servidores e componentes de rede registam estes dados em registos operacionais.
• Estatísticas da página inicial: um identificador aleatório de visitante (guardado num cookie), a variante de teste apresentada (A ou B), o caminho da página, o sítio de origem, etiquetas de campanha (utm_source, utm_medium, utm_campaign), cliques nos nossos principais botões de ação e se foi submetido um pedido de demonstração ou criada uma demonstração. Os pedidos que se identificam como robôs ou pré-visualizações de ligações não são registados como visitas.
• A sua preferência de idioma e uma indicação aproximada do país fornecida pela nossa rede (cabeçalho CF-IPCountry), usada apenas para escolher um idioma por omissão.

Quem pede uma demonstração

• Nome completo, endereço de email, nome do estabelecimento e palavra-passe (guardada apenas sob a forma de hash).
• A data e a versão dos Termos para Parceiros que aceitou e a caixa facultativa "Quero acompanhar o crescimento da KuKA".
• Dados da própria demonstração: quando foi criada e expira, o seu estado, eventos de dados de exemplo e o seu progresso na visita guiada ao produto.

Clientes empresariais e seus administradores

• Dados da conta: nome, endereço de email, hash da palavra-passe, fuso horário, perfil e acesso a grupos e restaurantes, estado da conta, data de aceitação dos Termos para Parceiros e estado de confirmação do email.
• Dados do negócio: nomes do grupo e dos restaurantes, menus, preços, imagens, mesas, turnos e definições que introduz. Pode ser indicado, facultativamente, um número de identificação fiscal português (NIF) no registo.
• Dados de faturação: referências de cliente e de subscrição na Stripe, estado e datas da subscrição, nome, morada, número de identificação fiscal e email de faturação introduzidos no Stripe Checkout, número da fatura, montantes, linhas de IVA e estado de emissão e de envio da fatura.
• Comunicações: emails transacionais (ver secção 6) e mensagens que nos envie para suporte.

Colaboradores de restaurantes

• Dados da conta criada pelo seu empregador ou pelo administrador do grupo: nome, endereço de email, hash da palavra-passe, perfil e restaurantes a que tem acesso.
• Registos operacionais: ações que pratica na aplicação e que ficam associadas ao seu utilizador, por exemplo quem fechou a conta de uma mesa.
• Registos de segurança: um registo de auditoria de acessos com eventos administrativos (como acesso concedido ou revogado, criação de SuperAdmin, tokens de recuperação e abertura da consola de observabilidade), incluindo os identificadores e emails do utilizador que atua e do visado, o grupo ou restaurante em causa e a hora.

Clientes de mesa

• A KuKA não pede nome, email, telefone nem dados de cartão de pagamento.
• Um identificador aleatório de cliente (cookie), a mesa em que fez check-in e quando, os artigos do carrinho, os seus pedidos (artigos, quantidades, estado, hora, pago ou por pagar), a conta daí resultante e o menu ou a opção de preço fixo aplicável.
• Os dados de browser e de rede descritos em "Visitantes".

4. Para que usamos os dados e com que fundamento

Quando nos baseamos em interesses legítimos, ponderámo-los face aos seus direitos. Pode opor-se (ver secção 11).

Não tomamos decisões a seu respeito baseadas exclusivamente no tratamento automatizado que produzam efeitos jurídicos ou o afetem de forma significativa. O teste A/B apenas altera a versão da página inicial que lhe é apresentada.

5. De onde vêm os dados

• De si, quando preenche um formulário, usa a aplicação ou nos contacta.
• Do seu empregador ou do administrador do grupo, que cria ou convida as contas de colaboradores.
• Do seu dispositivo e browser, automaticamente, através de cookies e de pedidos ao servidor.
• Da Stripe, que nos informa sobre o estado de uma subscrição, os pagamentos e os dados de faturação introduzidos no checkout.
• Do restaurante, quanto a dados operacionais como menus, preços e configuração de mesas que se relacionam com os clientes.

6. Quem recebe os dados

Não vendemos dados pessoais. Só os partilhamos na medida do necessário, com os destinatários seguintes.

Os nossos administradores de plataforma (SuperAdmin) podem aceder à plataforma para prestar apoio e garantir a segurança. Esse acesso é limitado por perfil e as ações administrativas ficam registadas.

7. Transferências internacionais

Alguns dos destinatários acima, designadamente a Stripe, a Resend, a Google e a Cloudflare, estão ou podem estar sediados nos Estados Unidos, ou aceder a dados a partir daí. Quando dados pessoais saem do Espaço Económico Europeu, baseamo-nos numa decisão de adequação da Comissão Europeia (por exemplo o Quadro de Privacidade de Dados UE-EUA, para destinatários certificados) ou nas Cláusulas Contratuais-Tipo adotadas pela Comissão, acompanhadas de medidas suplementares sempre que necessário. A localização do nosso alojamento consta da secção 6.

Pode solicitar uma cópia das garantias aplicáveis escrevendo-nos (secção 14).

8. Durante quanto tempo conservamos os dados

Conservamos os dados pessoais apenas durante o tempo necessário à finalidade da recolha. Indicamos abaixo os prazos que podemos precisar. Quanto aos restantes, indicamos os critérios que aplicamos.

Terminado o prazo de conservação, os dados são eliminados ou anonimizados de forma irreversível. Os dados necessários para declarar, exercer ou defender direitos em processos judiciais podem ser conservados até à resolução do litígio.

9. Como protegemos os dados

Aplicamos medidas técnicas e organizativas adequadas ao risco. Existem hoje no produto as seguintes medidas:

• Transporte cifrado: o sítio de produção é servido por HTTPS e envia o cabeçalho HTTP Strict Transport Security.
• As palavras-passe são protegidas com o gerador de hash do ASP.NET Core Identity e nunca são guardadas nem devolvidas em texto simples. Os tokens de acesso à demonstração são guardados apenas sob a forma de hash. As ligações de recuperação de palavra-passe expiram ao fim de 1 hora.
• O cookie de sessão é HttpOnly e SameSite=Lax. Os formulários estão protegidos contra falsificação de pedidos entre sítios (CSRF) com tokens antifalsificação.
• As chaves usadas para proteger cookies e tokens (ASP.NET Core Data Protection) são guardadas no servidor, separadas da base de dados.
• O acesso é baseado em perfis e limitado aos grupos e restaurantes atribuídos a cada utilizador. As alterações administrativas de acesso ficam num registo de auditoria.
• A nossa configuração de traços remove as instruções de base de dados dos dados de rastreio. A consola de monitorização só está disponível para administradores de plataforma autenticados.
• Os dados de cartão são introduzidos nas páginas alojadas pela Stripe, não na KuKA.

Nenhum sistema é totalmente seguro. Se uma violação de dados pessoais for suscetível de implicar risco para os seus direitos, notificaremos a CNPD no prazo de 72 horas após dela tomarmos conhecimento e informaremos os titulares afetados quando a lei o exija (RGPD, arts. 33.º e 34.º).

10. Cookies e tecnologias semelhantes

Os cookies são pequenos ficheiros guardados no seu browser. Usamos cookies e armazenamento do browser apenas nos termos listados abaixo. Não usamos cookies publicitários nem cookies de rastreio de terceiros.

Cookies

Armazenamento do browser

Recursos de terceiros

As nossas páginas carregam tipos de letra e estilos de ícones da Google Fonts e da jsDelivr, e o script SignalR da cdnjs. Estes fornecedores recebem o seu endereço IP e user agent quando o browser pede os ficheiros. Não os usamos para publicidade nem para rastreio.

As suas escolhas

Os cookies estritamente necessários não podem ser desativados sem prejudicar o serviço. Pode bloquear ou apagar cookies nas definições do browser; se o fizer, os dois cookies não essenciais deixam de ser usados para estatísticas, e a aplicação pode pedir-lhe que inicie sessão de novo ou perder o carrinho. Os cookies não essenciais acima listados limitam-se a estatísticas anónimas próprias e a testes A/B.

11. Os seus direitos

Nos termos do RGPD, enquanto titular dos dados, tem direito a:

• Acesso aos dados pessoais que tratamos a seu respeito e a obter uma cópia.
• Retificação de dados inexatos ou incompletos.
• Apagamento ("direito a ser esquecido") quando deixe de existir motivo para os conservar.
• Limitação do tratamento em certos casos.
• Portabilidade: receber os dados que nos forneceu num formato estruturado, de uso corrente e de leitura automática, quando o tratamento se baseie no consentimento ou em contrato e seja realizado por meios automatizados.
• Oposição ao tratamento baseado em interesses legítimos, por motivos relacionados com a sua situação particular.
• Retirar o consentimento a qualquer momento, sem comprometer o tratamento anterior (por exemplo, a caixa facultativa de novidades).
• Não ficar sujeito a decisões baseadas exclusivamente no tratamento automatizado com efeitos jurídicos ou significativos. Não tomamos tais decisões.

Para exercer um direito, escreva para support@getkuka.com. Podemos pedir-lhe que confirme a sua identidade. Respondemos no prazo de um mês; em casos complexos, o prazo pode ser prorrogado por mais dois meses e explicaremos o motivo. O exercício dos direitos é gratuito, salvo pedidos manifestamente infundados ou excessivos.

Se é cliente de mesa ou colaborador, o seu pedido sobre dados que tratamos por conta de um restaurante pode ser encaminhado para esse restaurante, que é o responsável pelo tratamento.

Reclamações. Tem o direito de apresentar reclamação à autoridade de controlo: Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, Portugal, www.cnpd.pt. Pode também reclamar junto da autoridade do Estado-Membro da UE onde reside ou trabalha. Se se encontra no Brasil, podem aplicar-se também os direitos previstos na Lei n.º 13.709/2018 (LGPD), exercíveis através do mesmo contacto.

12. Crianças

A KuKA é uma ferramenta empresarial e não se dirige a crianças com menos de 16 anos. Não recolhemos intencionalmente dados pessoais de crianças. Aos clientes de mesa não é pedida a idade nem a identidade; se estiver um menor à mesa, o restaurante é responsável por quem faz o pedido. Se considera que uma criança nos forneceu dados, contacte-nos e eliminá-los-emos.

13. Alterações a esta política

Podemos atualizar esta política para refletir alterações ao produto, aos nossos fornecedores ou à lei. O número da versão e a data estão no topo desta página. Quando a alteração for relevante, daremos um aviso em destaque no produto ou no nosso sítio antes de produzir efeitos. As versões anteriores estão disponíveis a pedido.

14. Contacto

Vírgula Majestosa Unipessoal, Lda, Largo República da Turquia 6, Lumiar, Lisboa, Portugal. NIPC 519131410.

Email: support@getkuka.com.

Documentos relacionados: Termos de Serviço para Parceiros, Termos de Serviço para Convidados.