ALocal ALocalGestão de Alojamento LocalAcordo de tratamento

Acordo de tratamento de dados de hóspedes

Última atualização: 2026-09-15

Este acordo regula o tratamento que o ALocal faz, por conta do anfitrião, dos dados de hóspedes recolhidos pela plataforma, nos termos do artigo 28.º, n.º 3, do RGPD. Aplica-se a cada conta de gestão que usa a recolha de hóspedes e os ficheiros SIBA, e completa os Termos de Utilização.

Este acordo é redigido em português e disponibilizado também em inglês e espanhol. Em caso de divergência entre versões, prevalece a versão portuguesa.

A identidade legal completa do prestador (nome, NIF e morada) ainda está por publicar nas páginas legais. Até lá, estas páginas referem-se ao serviço como a plataforma Gestão de Alojamento Local.

Partes

Responsável pelo tratamento: o anfitrião titular da conta de gestão, que explora o alojamento e está obrigado a comunicar a estadia de cidadãos estrangeiros (artigos 15.º e 16.º da Lei n.º 23/2007).
Subcontratante: o prestador da plataforma Gestão de Alojamento Local (ALocal), cuja identidade legal completa ainda está por publicar.

Objeto e duração

Objeto: recolher, guardar e organizar os dados de identificação dos hóspedes, gerar os ficheiros do boletim de alojamento e manter a prova de conformidade do anfitrião.
Duração: enquanto a conta de gestão existir, até os dados serem apagados nos termos da secção «Fim do tratamento».

Natureza e finalidade

Recolha através de um link privado que o anfitrião envia ao hóspede, com validação dos campos.
Conservação cifrada dos campos de identificação e consulta pelos utilizadores da conta.
Geração do ficheiro .DAT para o SIBA, só com hóspedes de nacionalidade estrangeira, e de um registo interno em CSV com todos os hóspedes da estadia.
Apagamento no fim do prazo de retenção.
Finalidade única: permitir ao anfitrião comunicar os hóspedes e demonstrar que o fez. O ALocal não submete o boletim no SIBA, não transmite dados a autoridades, não usa os dados em marketing e não os vende.

Categorias de dados

De cada hóspede: nome, apelido, data de nascimento, género, nacionalidade, país de residência, e tipo, número e país emissor do documento de identificação.
Da estadia: datas de entrada e de saída e o alojamento.
O formulário não recolhe imagens nem cópias de documentos.

Categorias de titulares

Hóspedes do alojamento: o hóspede principal e até quatro acompanhantes por formulário.

Obrigações do anfitrião

Tratar os dados com fundamento legal e dentro das finalidades deste acordo.
Informar os hóspedes; o formulário mostra um aviso e a Política de Privacidade tem uma secção sobre dados de hóspedes.
Enviar o link apenas aos hóspedes da estadia e dar acesso à conta só a quem precise.
Submeter o boletim no portal SIBA dentro dos prazos legais e conservar o que a lei manda conservar.
Responder aos pedidos dos hóspedes sobre os seus dados.

Obrigações do ALocal

Instruções: tratar os dados apenas segundo as instruções documentadas do anfitrião, que são este acordo e a utilização que faz da plataforma, e avisá-lo se considerar que uma instrução viola a legislação de proteção de dados.
Confidencialidade: garantir que quem tem acesso aos dados assumiu um compromisso de confidencialidade ou está sujeito a uma obrigação legal de confidencialidade.
Segurança: aplicar as medidas descritas na secção «Medidas de segurança».
Subcontratantes: o anfitrião autoriza de forma geral os subcontratantes listados abaixo. O ALocal anuncia nesta página qualquer acréscimo ou substituição antes de produzir efeitos, e o anfitrião pode opor-se. Cada subcontratante fica sujeito a obrigações de proteção de dados equivalentes.
Pedidos dos titulares: reencaminhar ao anfitrião, sem demora injustificada, os pedidos que receba, e ajudá-lo a responder; a exportação dos dados da conta está em Conta › Os seus dados (RGPD).
Assistência: ajudar o anfitrião a cumprir os artigos 32.º a 36.º do RGPD, tendo em conta a informação de que o ALocal dispõe.
Violações de dados: notificar o anfitrião sem demora injustificada após ter conhecimento de uma violação de dados pessoais, com a informação disponível para que cumpra os seus próprios deveres de notificação.
Demonstração e auditorias: disponibilizar a informação necessária para demonstrar o cumprimento deste acordo e permitir auditorias, incluindo inspeções, pelo anfitrião ou por auditor por ele mandatado, mediante aviso prévio razoável.

Medidas de segurança

Campos de identificação cifrados na base de dados com AES-256-GCM, com chaves por campo derivadas com HKDF-SHA256 a partir de uma chave-mestra definida na configuração do servidor.
Ficheiros SIBA e cópias de segurança gravados no armazenamento de objetos com cifragem do lado do servidor.
Acesso por conta e por papel: só membros da conta de gestão acedem aos dados; exportar todos os dados exige o papel de proprietário ou administrador.
Registo de auditoria das consultas de identidade, das exportações, dos descarregamentos e dos apagamentos.
Links de recolha de uso único e com prazo, guardados apenas como impressão digital criptográfica.
Cópias de segurança diárias da base de dados.
Apagamento automático diário no fim do prazo de retenção.

Fim do tratamento

Enquanto a conta existir, os dados de identificação e os ficheiros .DAT e CSV são apagados quando passam 365 dias sobre a data de saída, o prazo definido por omissão. Fica o registo da exportação, sem dados de identificação.
No fim do serviço, e à escolha do anfitrião, o ALocal apaga os dados de hóspedes ou devolve-os antes através da exportação da conta, salvo se a lei exigir a sua conservação.
As cópias de segurança são apagadas do servidor ao fim de 14 dias; nelas, os campos de identificação continuam cifrados.
Para pedir a eliminação da conta, use a página de eliminação de dados.

Subcontratantes autorizados

Os prestadores que intervêm no serviço e o que cada um recebe.

Prestador	Serviço	Dados que recebe	Localização
OVHcloud	Servidor da aplicação e da base de dados; armazenamento de objetos para ficheiros SIBA e cópias de segurança.	Todos os dados de hóspedes guardados pela plataforma (na base de dados, os campos de identificação estão cifrados).	Armazenamento de objetos e cópias de segurança na região GRA (Gravelines, França). Localização do servidor por confirmar.
Brevo	Envio dos emails da plataforma aos utilizadores da conta.	Endereço e conteúdo dos emails de acesso e de lembrete; não inclui dados de identificação de hóspedes.	Por confirmar.
ImprovMX	Reencaminhamento das mensagens enviadas para o endereço de apoio.	Apenas o que alguém escrever para esse endereço; não recebe os dados do formulário.	Empresa dos Estados Unidos. Declara receber o email em França (AWS, Paris), apagá-lo depois de entregue e poder entregá-lo a partir de infraestrutura nos Estados Unidos, com cláusulas contratuais-tipo.

A Stripe processa os pagamentos da subscrição e não recebe dados de hóspedes, por isso não consta desta lista.

A informação aos hóspedes está na secção «Dados de hóspedes» da Política de Privacidade.

Para questões sobre este acordo, escreva para o endereço de apoio. Assunto sugerido: Acordo de tratamento. support@alocal.pt