ALocal Gestão de Alojamento LocalPrivacidade
EntrarCriar conta

Política de Privacidade

Tratamos dados necessários à autenticação, operação da plataforma e obrigações legais. A medição opcional tem uma escolha separada, descrita abaixo.

Responsável pelo tratamento

Gestão de Alojamento Local é responsável pelo tratamento dos dados de conta, de operação e de segurança da plataforma. Nos dados de hóspedes, o responsável é o anfitrião e o ALocal atua como subcontratante: ver a secção «Dados de hóspedes».

Que dados tratamos

  • Conta: email, nome e identificadores de autenticação.
  • Dados operacionais introduzidos por utilizadores autorizados.
  • Dados de identificação de hóspedes, tratados por conta do anfitrião: ver a secção «Dados de hóspedes».
  • Logs técnicos e auditoria de segurança.

Finalidades e base legal

  • Execução do contrato para disponibilização do serviço.
  • Interesse legítimo para segurança e prevenção de abuso.
  • Obrigação legal para cumprimento regulatório aplicável.

Conservação e partilha

  • Dados de conta mantidos enquanto a conta estiver ativa.
  • Dados operacionais mantidos apenas pelo período necessário ao serviço e obrigações legais.
  • Não vendemos dados pessoais. Os fornecedores técnicos e a medição opcional da Google são descritos separadamente nesta política.

Direitos RGPD

  • Acesso, retificação e eliminação.
  • Portabilidade: descarregue os dados da sua conta de gestão em Conta › Os seus dados (RGPD).
  • Oposição nos cenários legalmente previstos.

Cookies e Google Analytics opcional

O Google Analytics só é carregado após aceitar a medição opcional e apenas nas páginas públicas autorizadas.

  • Finalidade e escolha: perceber a utilização das páginas públicas, com base no seu consentimento. A autorização anterior para métricas próprias não autoriza a Google. Recusar não limita o serviço. Pode retirar a escolha em Alterar privacidade, no rodapé.
  • Quando ativado e aceite, a Google recebe o endereço IP necessário à ligação, dados técnicos do navegador/dispositivo e identificadores de cookies, além do caminho público normalizado e de um título fixo. Não é uma medição anónima. Não enviamos o URL completo, pesquisa, fragmentos, página de origem, texto livre, formulários, valores financeiros ou identificadores de conta, imóvel ou relatório.
  • As áreas autenticadas, privadas, de análise e relatórios ficam excluídas. Não ligamos os eventos operacionais internos à Google. Não ativamos publicidade, Google signals, personalização, recolha de dados fornecidos por utilizadores ou medição melhorada.
  • O cookie de escolha de medição dura até 180 dias. O lembrete local da escolha fica no navegador até ser eliminado. Os cookies _ga e _ga_* têm duração configurada de 90 dias, sem renovação automática. Retirar a escolha interrompe o contexto de medição e apaga esses cookies neste domínio. Do Not Track e Global Privacy Control impedem o carregamento.
  • A Google é destinatária dos dados de medição quando esta estiver ativa e for aceite; podem existir tratamentos fora do Espaço Económico Europeu. A identificação contratual do fornecedor, os locais de tratamento, as garantias de transferência e a retenção na propriedade Google têm de ser confirmados e publicados antes da ativação. Esta alteração não atesta essa revisão nem substitui os contactos e direitos descritos nesta política.

Dados de hóspedes

Esta secção descreve o tratamento dos dados de identificação que os hóspedes preenchem no formulário que o anfitrião lhes envia.

Quem é responsável

  • O responsável pelo tratamento é o anfitrião, isto é, quem explora o alojamento. É ao anfitrião que a lei impõe comunicar a estadia de cidadãos estrangeiros (artigos 15.º e 16.º da Lei n.º 23/2007), e é essa obrigação legal que fundamenta o tratamento (artigo 6.º, n.º 1, alínea c), do RGPD).
  • O ALocal trata estes dados por conta do anfitrião, como subcontratante (artigo 28.º do RGPD), nos termos do acordo de tratamento publicado.
  • A identidade legal completa do prestador (nome, NIF e morada) ainda está por publicar nas páginas legais. Até lá, estas páginas referem-se ao serviço como a plataforma Gestão de Alojamento Local.

Que dados e para quê

  • De cada hóspede: nome, apelido, data de nascimento, género, nacionalidade, país de residência, tipo de documento (passaporte, cartão de cidadão ou título de residência), número do documento e país emissor. Da estadia: datas de entrada e de saída.
  • O formulário não pede fotografias nem cópias de documentos.
  • Finalidade: preparar o boletim de alojamento que o anfitrião submete no SIBA e guardar a prova de conformidade do anfitrião. Não usamos estes dados para outro fim, não os usamos em marketing e não os vendemos.
  • Quem submete o boletim no portal SIBA é o anfitrião. O ALocal gera o ficheiro .DAT, que só inclui hóspedes de nacionalidade estrangeira, e não transmite dados a nenhuma autoridade.

Onde ficam e como são protegidos

  • Os campos de identificação ficam na base de dados PostgreSQL da plataforma, cifrados campo a campo com AES-256-GCM e uma chave derivada para cada campo. As datas da estadia não são cifradas.
  • Os ficheiros gerados para o SIBA (o .DAT e o registo interno em CSV) contêm esses dados em texto legível, porque é esse o formato do ficheiro. Ficam no armazenamento de objetos da OVHcloud, que os grava com cifragem do lado do servidor pedida pela plataforma.
  • O link do formulário pertence a uma estadia: expira ao fim de 7 dias por omissão (30 no máximo), fecha depois do primeiro envio e só a sua impressão digital criptográfica fica guardada.
  • Só os utilizadores da conta de gestão do anfitrião veem os dados. Exportar todos os dados da conta exige o papel de proprietário ou administrador. As consultas de identidade e os descarregamentos de ficheiros SIBA ficam registados. As ferramentas internas de apoio mostram contagens de estadias, não dados de hóspedes.
  • Os registos técnicos do servidor guardam o endereço pedido, que inclui o código do link, mas não o conteúdo do formulário.

Quanto tempo são guardados

  • Uma tarefa diária apaga os dados de identificação e os ficheiros .DAT e CSV quando passam 365 dias sobre a data de saída da estadia. É o prazo definido por omissão em cada conta.
  • Fica o registo da exportação, sem dados de identificação: número e impressão digital do ficheiro, data, estado e o resumo em PDF, que só tem contagens. As datas da estadia também ficam.
  • As cópias de segurança diárias da base de dados guardam os campos de identificação tal como estão na base de dados, ou seja, cifrados. São apagadas do servidor ao fim de 14 dias e são também enviadas para o armazenamento de objetos da OVHcloud com cifragem do lado do servidor.
  • A Lei n.º 23/2007 manda conservar os boletins durante um ano a contar do dia seguinte ao da comunicação da saída (artigo 15.º, n.º 5). Essa conservação cabe ao anfitrião.

Destinatários e subcontratantes

  • OVHcloud: servidor onde correm a aplicação e a base de dados, e armazenamento de objetos para os ficheiros SIBA e as cópias de segurança.
  • Brevo: envio dos emails da plataforma aos utilizadores da conta, como links de acesso e lembretes. Estes emails não contêm dados de identificação de hóspedes.
  • ImprovMX: reencaminha as mensagens escritas para o endereço de apoio. É uma empresa dos Estados Unidos; declara receber o email em França e poder entregá-lo a partir de infraestrutura nos Estados Unidos, com cláusulas contratuais-tipo. Não envie dados de documentos por email.
  • Stripe: processa o pagamento da subscrição do anfitrião e recebe o email e o nome da conta de gestão. Não recebe dados de hóspedes.
  • A medição opcional da Google não corre no formulário do hóspede.

Direitos dos hóspedes

  • Os direitos de acesso, retificação e apagamento, e os restantes direitos do RGPD, exercem-se junto do anfitrião, que é o responsável pelo tratamento.
  • Pode também escrever para o endereço de apoio indicado nesta página: reencaminhamos o pedido ao anfitrião e ajudamo-lo a responder (artigo 28.º, n.º 3, alínea e), do RGPD).
  • O apagamento pode ser recusado na medida em que o tratamento seja necessário ao cumprimento da obrigação legal de comunicar a estadia (artigo 17.º, n.º 3, alínea b), do RGPD).

As obrigações do ALocal enquanto subcontratante estão no acordo de tratamento de dados de hóspedes.

Reclamação à CNPD

Se considerar que os seus dados não são tratados de acordo com a lei, tem direito a apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), a autoridade de controlo em Portugal (artigo 77.º do RGPD e artigo 3.º da Lei n.º 58/2019).

Apresentar reclamação no sítio da CNPD

Para pedidos de privacidade, RGPD ou apoio relacionado com dados, use o contacto disponível no rodapé.

Para exercer os seus direitos de RGPD ou perguntar o que quer que seja sobre os seus dados, escreva para support@alocal.pt