Política de Privacidade

1. Quem Somos

A Occavia, operada por [COMPANY LEGAL NAME AND REGISTERED ADDRESS] a partir do país da Geórgia (Sakartvelo), é a responsável pelo tratamento dos dados pessoais descritos na presente política. No que respeita às informações que os seus convidados submetem no seu convite, o utilizador, enquanto anfitrião, é o responsável pelo tratamento e nós tratamo-las em seu nome. Contacto: hello@occavia.com.

2. Dados que Recolhemos

Dados da conta: o seu endereço de e-mail e, caso inicie sessão com o Google, o nome da sua conta Google e a fotografia de perfil.

Conteúdo do evento: nomes, data do evento, local, texto da história, programa e quaisquer outras informações que introduza durante a criação do seu convite.

Conteúdos multimédia carregados: fotografias e vídeos que carregue como imagem de capa ou para uma galeria do evento, armazenados no Cloudflare R2.

Dados dos convidados: nomes, presença, número de pessoas, acompanhantes, notas alimentares, respostas às suas perguntas de RSVP, mensagens pessoais, entradas no livro de visitas, comentários e reações, respostas ao questionário e lugares à mesa — submetidos pelos seus convidados ou adicionados por si —, incluindo os endereços de e-mail e os números de telefone dos convidados, quando fornecidos por si ou por eles (por exemplo, na sua lista de convidados ou no formulário de RSVP). Os convidados podem igualmente carregar fotografias e vídeos e optar por utilizar a cabine fotográfica com IA.

Cabine fotográfica com IA: quando um convidado a utiliza, a sua fotografia é enviada aos nossos fornecedores de IA para criar uma imagem estilizada, juntamente com uma descrição automatizada das pessoas na fotografia (como o tom de pele e o cabelo), para que o resultado continue reconhecível. A fotografia e o resultado são armazenados com o evento. Os convidados são informados disto antes de a fotografia ser enviada.

Outros dados que nos fornece: o nome, o endereço de e-mail e a mensagem do destinatário quando compra uma oferta; o endereço de e-mail que introduz para um Save the Date; as mensagens e os dados de contacto que nos envia através do nosso chat de apoio ou dos formulários de contacto; e, se aderir ao nosso programa de parceiros, os seus dados para pagamentos e dados fiscais, bem como um registo dos cliques nas suas ligações de referência.

Dados de pagamento: a sua compra é integralmente processada pela Paddle. Recebemos apenas uma referência da transação, o produto adquirido, o montante e o seu país (utilizado para efeitos fiscais). O número do seu cartão e as suas credenciais de pagamento nunca nos são transmitidos nem por nós armazenados.

Dados técnicos e de utilização: endereço IP, tipo de navegador, tipo de dispositivo, páginas visitadas e registos de erros, recolhidos automaticamente à medida que utiliza o serviço.

3. Como Utilizamos os Seus Dados

Para operar e prestar o serviço: criar e alojar a sua página de convite, exibir os RSVP e o mural de fotografias dos convidados no seu painel de controlo e enviar e-mails transacionais (por exemplo, ligações de início de sessão, notificações de RSVP). Fundamento jurídico: execução de um contrato.

Para executar as funcionalidades que o utilizador e os seus convidados escolhem: enviar lembretes e notificações por e-mail e, quando disponível, por WhatsApp; traduzir automaticamente o texto do seu convite quando no-lo solicitar; criar imagens da cabine fotográfica com IA; e responder a pedidos de apoio, incluindo através de um assistente de IA. Fundamento jurídico: execução de um contrato e, no caso da cabine fotográfica com IA, o consentimento do convidado.

Para manter os convites seguros: as fotografias carregadas para um convite são verificadas automaticamente por um serviço de moderação com IA para detetar conteúdos ilícitos ou nocivos. Fundamento jurídico: interesses legítimos.

Para processar pagamentos: transmitir uma sessão de pagamento à Paddle e conciliar a transação concluída. Fundamento jurídico: execução de um contrato.

Para manter o serviço seguro e prevenir fraudes: monitorizar atividades suspeitas e fazer cumprir as nossas regras de utilização aceitável. Fundamento jurídico: interesses legítimos.

Para cumprir obrigações legais: responder a pedidos legais válidos das autoridades e manter registos fiscais. Fundamento jurídico: obrigação legal.

4. Cookies

Utilizamos cookies necessários para manter a sua sessão iniciada (um cookie de sessão seguro) e para memorizar preferências, tais como a moeda escolhida e eventuais indicações de parceiros. Utilizamos o Google Analytics em modo de consentimento: até aceitar os cookies analíticos no nosso banner, este não instala quaisquer cookies e envia apenas sinais agregados, sem cookies, e só instala cookies analíticos depois de os aceitar. Pode recusar ou retirar o seu consentimento a qualquer momento. Não utilizamos cookies de publicidade nem de rastreio entre sítios.

Com o seu consentimento, utilizamos igualmente o PostHog nas nossas páginas de marketing e de pagamento para compreender de que forma os visitantes navegam e onde encontram dificuldades. Este regista repetições de sessão (session replays) anonimizadas; tudo o que introduza num formulário é ocultado e nunca é capturado, e nunca registamos o conteúdo dos pedidos ou das respostas de rede. Apenas é carregado depois de aceitar os cookies analíticos no nosso banner — nunca nas páginas de convite publicadas que os seus convidados visitam, nem no seu painel privado — e pode retirar o seu consentimento a qualquer momento.

5. Armazenamento e Segurança dos Dados

Os dados estruturados (contas, conteúdo de eventos, RSVP) são armazenados no Supabase, um serviço de PostgreSQL gerido. O acesso é restringido por políticas de segurança ao nível das linhas (row-level security), de modo que cada utilizador apenas pode aceder aos seus próprios dados.

Os ficheiros multimédia (fotografias e vídeos) são armazenados no Cloudflare R2. Os ficheiros são disponibilizados através de URLs assinados ou públicos. Os carregamentos estão sujeitos a limites razoáveis de tamanho de ficheiro.

Todos os dados são cifrados em trânsito através de TLS. Os segredos e as chaves de API são armazenados no lado do servidor e nunca expostos ao navegador.

6. Conservação dos Dados

Os dados da conta e dos eventos são conservados enquanto a sua conta estiver ativa. As fotografias e os vídeos carregados para um convite são conservados até 6 meses após a data do evento, sendo depois eliminados definitivamente; os RSVP e os votos escritos permanecem até eliminar o evento ou a sua conta. Se eliminar a sua conta, os seus eventos, os RSVP dos convidados e os carregamentos são removidos dos nossos sistemas ativos no prazo de 30 dias, e as cópias existentes nas nossas cópias de segurança cifradas são eliminadas à medida que essas cópias de segurança vão sendo substituídas. Após a eliminação, conservamos registos limitados sempre que a lei ou os nossos interesses legítimos o exijam: registos de pagamentos e fiscais (ver abaixo), registos de segurança e de auditoria, e registos de apoio e do programa de parceiros.

Se eliminar um evento específico, todos os RSVP, mensagens e conteúdos multimédia carregados relativos a esse evento são definitivamente eliminados.

Os registos das transações de pagamento são conservados durante o período exigido pela legislação fiscal e financeira aplicável (normalmente 7 anos).

7. Subcontratantes

Partilhamos dados pessoais com os seguintes subcontratantes de confiança para operar o serviço:

Supabase, Inc. (EUA) — base de dados, autenticação e funções de servidor. Os dados são armazenados na região da UE (Frankfurt). Política de privacidade: supabase.com/privacy.

Cloudflare, Inc. (EUA) — armazenamento de conteúdos multimédia (R2) e distribuição de conteúdos. Os dados são armazenados de acordo com as definições de localização de dados da Cloudflare. Política de privacidade: cloudflare.com/privacypolicy.

Paddle.com Market Limited (Reino Unido/Irlanda) — processamento de pagamentos na qualidade de Comerciante Registado (Merchant of Record). A Paddle é responsável pela recolha e tratamento das suas informações de pagamento. Política de privacidade: paddle.com/privacy.

Google LLC (EUA) — início de sessão opcional com o Google (OAuth 2.0), utilizado apenas se optar por iniciar sessão com o Google.

PostHog Inc. (Estados Unidos), utilizando a sua região EU Cloud — análise de produto e repetição de sessão anonimizada nas nossas páginas de marketing e de pagamento, carregada apenas depois de aceitar os cookies analíticos. Os dados são armazenados e tratados na UE. Política de privacidade: posthog.com/privacy.

Vercel Inc. (EUA) — alojamento do nosso site e das funções de servidor, executados na região da UE (Frankfurt).

Google LLC (EUA) — Google Analytics, em modo de consentimento (ver Cookies).

Cloudflare, Inc. (EUA) — proteção contra bots Turnstile nos nossos formulários.

OpenAI, L.L.C. (EUA) — criação de imagens da cabine fotográfica com IA e outras funcionalidades de IA.

Anthropic PBC (EUA) — descrição das pessoas nas fotografias da cabine fotográfica com IA, moderação automatizada das fotografias carregadas e o nosso assistente de apoio com IA.

Resend, Inc. (EUA) — envio de e-mails, como ligações de início de sessão, notificações de RSVP e lembretes.

Meta Platforms Ireland Ltd. (WhatsApp) — envio de lembretes por WhatsApp, quando disponível.

Microsoft Corporation (Azure Translator) — tradução automática do texto do convite quando a solicitar.

Upstash, Inc. (EUA) — limitação de pedidos (rate limiting), que utiliza endereços IP, e o nosso chat de apoio em direto.

Functional Software, Inc. (Sentry) (EUA) — monitorização de erros.

Telegram — notificação da nossa equipa de apoio sobre novas mensagens de apoio.

GitHub, Inc. (EUA) — execução das nossas cópias de segurança cifradas.

8. Transferências Internacionais

Vários dos subcontratantes acima enumerados estão sediados fora do Espaço Económico Europeu (EEE) e do Reino Unido, sobretudo nos Estados Unidos. Sempre que sejam transferidos dados pessoais para um país que não disponha de uma decisão de adequação, recorremos às Cláusulas Contratuais-Tipo (CCT) ou a outras salvaguardas adequadas disponibilizadas por esses fornecedores.

9. Os Seus Direitos

Consoante a sua localização, poderá dispor dos seguintes direitos relativamente aos seus dados pessoais: (a) Acesso — solicitar uma cópia dos dados que detemos a seu respeito; (b) Retificação — solicitar-nos a correção de dados inexatos; (c) Apagamento — solicitar-nos a eliminação dos seus dados ("direito a ser esquecido"); (d) Portabilidade dos dados — receber os seus dados num formato legível por máquina; (e) Limitação — solicitar-nos que limitemos a forma como tratamos os seus dados; (f) Oposição — opor-se ao tratamento baseado em interesses legítimos.

Para exercer qualquer um destes direitos, envie-nos um e-mail para hello@occavia.com com o seu pedido. Responderemos no prazo de 30 dias. Tem igualmente o direito de apresentar reclamação junto da sua autoridade de controlo local.

10. Crianças

Para criar uma conta, deve ter 18 anos ou mais (consulte os nossos Termos). O serviço não se destina a crianças e não recolhemos conscientemente dados pessoais de crianças com menos de 16 anos, exceto através de conteúdos que um anfitrião ou convidado opte por partilhar, como uma fotografia de família num convite ou num mural de fotografias. Os anfitriões e os convidados são responsáveis por dispor de autorização para partilhar imagens de crianças. Se considerar que detemos dados de uma criança que devam ser removidos, contacte-nos e eliminá-los-emos prontamente.

11. Alterações a Esta Política

Poderemos atualizar esta Política de Privacidade periodicamente. Notificá-lo-emos de alterações relevantes mediante a publicação aqui da política atualizada, com uma data de "Atualização" revista. No caso de alterações significativas que afetem a forma como utilizamos os seus dados, notificá-lo-emos também por e-mail.

12. Contacto

Para quaisquer questões sobre a presente Política de Privacidade ou para exercer os seus direitos em matéria de dados, contacte-nos através de: hello@occavia.com.