Política de Privacidade
Versão 1.0
1. Responsável pelo Tratamento e Encarregado de Proteção de Dados
A entidade responsável pelo tratamento dos dados pessoais recolhidos através da aplicação web AllerCarte (adiante, o «AllerCarte» ou o «Serviço») é:
Responsável pelo tratamento: [DENOMINAÇÃO SOCIAL], pessoa coletiva n.º [NIPC], com sede em [MORADA COMPLETA DA SEDE], Portugal.
Contacto: [ENDEREÇO DE CORREIO ELETRÓNICO] – [TELEFONE].
Encarregado de Proteção de Dados (EPD): [NOME OU FUNÇÃO], contactável através de [ENDEREÇO DE CORREIO ELETRÓNICO DO EPD].
Nota de conformidade: por tratar dados relativos à saúde (perfis de alergénios) de forma sistemática, deve avaliar-se a obrigatoriedade de designação de Encarregado de Proteção de Dados nos termos do artigo 37.º, n.º 1, alínea c), do RGPD. Caso seja designado, a sua identidade e contactos devem ser comunicados à Comissão Nacional de Proteção de Dados (CNPD).
2. Objeto e Âmbito
A presente Política de Privacidade descreve as condições em que o Responsável pelo Tratamento recolhe, utiliza, conserva, divulga e, de modo geral, trata os dados pessoais dos titulares que utilizam o AllerCarte, quer na qualidade de utilizadores do mapa público e dos menus (consumidores), quer na qualidade de utilizadores do back-office (restaurantes parceiros).
O AllerCarte é uma ferramenta de informação e de apoio à decisão que torna visível a informação alergénica dos menus de restaurantes. O AllerCarte não constitui um dispositivo médico, não presta aconselhamento clínico e não garante a ausência de alergénios. A informação inferida automaticamente é sempre assinalada como não verificada e o titular é sempre instruído a confirmar a informação junto do estabelecimento antes de consumir.
3. Enquadramento Legal
O tratamento de dados pessoais realizado pelo AllerCarte rege-se, designadamente, por:
Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (Regulamento Geral sobre a Proteção de Dados – «RGPD»);
Lei n.º 58/2019, de 8 de agosto, que assegura a execução do RGPD na ordem jurídica nacional;
Lei n.º 41/2004, de 18 de agosto, relativa ao tratamento de dados pessoais e à proteção da privacidade nas comunicações eletrónicas;
Regulamento (UE) n.º 1169/2011, relativo à prestação de informação aos consumidores sobre os géneros alimentícios, no que respeita à informação sobre alergénios.
4. Definições
Para os efeitos da presente Política, aplicam-se as definições constantes do artigo 4.º do RGPD, designadamente «dados pessoais», «tratamento», «responsável pelo tratamento», «subcontratante», «titular dos dados», «consentimento» e «categorias especiais de dados pessoais».
5. Categorias de Dados Pessoais Tratados
Consoante a forma de utilização do Serviço, o AllerCarte pode tratar as seguintes categorias de dados pessoais:
5.1. Dados de conta e autenticação
Endereço de correio eletrónico e credenciais de autenticação, geridos através do fornecedor de identidade Amazon Cognito. A autenticação é realizada mediante tokens (JWT) validados pelo servidor; o Responsável pelo Tratamento não conserva palavras-passe em texto simples.
5.2. Dados relativos à saúde (categoria especial)
O perfil de alergénios do titular – isto é, a indicação das alergias e intolerâncias alimentares – constitui um dado relativo à saúde e, como tal, uma categoria especial de dados pessoais na aceção do artigo 9.º, n.º 1, do RGPD. Estes dados são tratados exclusivamente com base no consentimento explícito do titular (ver secção 7).
5.3. Conteúdos contribuídos pela comunidade
Fotografias de menus e submissões de conteúdo carregadas pelo titular, bem como avisos de menu incorreto. As fotografias de menus destinam-se à leitura da ementa e, em regra, não contêm dados pessoais do titular. Quando o titular tem sessão iniciada, as submissões e os pontos que adiciona ao mapa ficam associados à sua conta enquanto aguardam validação, para que os possa ver, e só ele, em todos os seus dispositivos. Os contributos feitos como convidado ficam apenas no dispositivo e passam a estar associados à conta quando o titular inicia sessão nesse dispositivo.
5.4. Dados de utilização e técnicos
Endereço IP (tratado, nomeadamente, para efeitos de limitação de frequência de pedidos e de segurança), identificador de sessão, registos de acesso e de eventos, e registos de utilização do motor de inferência (modelo utilizado e custo associado). Estes dados são conservados em base de dados relacional e em registos técnicos locais.
5.5. Dados de restaurantes parceiros
Dados de identificação e de contacto dos representantes dos estabelecimentos aderentes e dados da conta de administração do respetivo back-office.
6. Finalidades e Fundamentos de Licitude
Cada tratamento assenta num fundamento de licitude previsto no artigo 6.º e, tratando-se de dados de categoria especial, no artigo 9.º do RGPD, de acordo com o quadro seguinte:
Finalidade
Categorias de dados
Fundamento de licitude
Criação e gestão da conta e autenticação
Conta e autenticação
Execução de contrato – art. 6.º, n.º 1, al. b)
Filtragem de menus e destaque de pratos de risco em função do perfil de alergénios
Dados de saúde
Consentimento explícito – art. 9.º, n.º 2, al. a)
Digitalização (OCR) e inferência de alergénios a partir de menus
Conteúdos contribuídos; dados técnicos
Interesse legítimo – art. 6.º, n.º 1, al. f); consentimento na contribuição
Segurança, prevenção de abuso e limitação de frequência
Dados técnicos (IP, registos)
Interesse legítimo – art. 6.º, n.º 1, al. f)
Cumprimento de obrigações legais e resposta a autoridades
Todas as aplicáveis
Obrigação jurídica – art. 6.º, n.º 1, al. c)
Gestão da parceria com restaurantes
Dados de restaurantes parceiros
Execução de contrato – art. 6.º, n.º 1, al. b)
7. Tratamento de Dados de Categorias Especiais (Saúde)
O tratamento do perfil de alergénios do titular realiza-se unicamente com base no seu consentimento explícito, prestado de forma livre, específica, informada e inequívoca, através de ação afirmativa clara e distinta da aceitação das restantes condições do Serviço.
O consentimento é registado, com indicação da data e do meio pelo qual foi prestado.
O titular pode retirar o consentimento a qualquer momento, com a mesma facilidade com que o prestou, sem que tal comprometa a licitude do tratamento efetuado com base no consentimento previamente dado.
A retirada do consentimento implica a cessação do tratamento do perfil de alergénios e a sua eliminação, salvo obrigação legal de conservação.
8. Utilizadores Convidados e Princípio da Minimização
O titular pode utilizar o AllerCarte sem criar conta, na qualidade de utilizador convidado. Neste caso, o perfil de alergénios é conservado localmente no dispositivo do titular (armazenamento local do navegador) e não é conservado nos servidores do Responsável pelo Tratamento, sendo apenas sincronizado se e quando o titular optar por criar conta. A única exceção é o mapa afastado: para colorir os grupos de restaurantes quando o mapa está afastado, a seleção de alergénios (e o filtro de cores, se existir) é enviada ao servidor no corpo de um pedido, usada em memória apenas para esse cálculo e descartada de imediato; não é gravada, registada em ficheiros de registo nem colocada em cache, e não é associada a qualquer identificador. Este desenho concretiza os princípios da minimização dos dados e da proteção de dados desde a conceção e por defeito (artigos 5.º, n.º 1, alínea c), e 25.º do RGPD).
9. Tratamento de Dados de Menores
O AllerCarte permite a gestão de perfis de alergénios de menores pelos respetivos progenitores ou representantes legais (por exemplo, um progenitor que gere as alergias de um filho). O tratamento de dados de saúde de menores é realizado sob a responsabilidade e mediante o consentimento do titular das responsabilidades parentais. O Serviço não se dirige a menores agindo sem essa supervisão e o Responsável pelo Tratamento não recolhe intencionalmente dados de menores fora deste enquadramento.
10. Decisões Automatizadas e Definição de Perfis
O AllerCarte utiliza técnicas automatizadas – designadamente reconhecimento ótico de carateres (OCR) e modelos de inteligência artificial – para inferir ingredientes, receitas, métodos de preparação e a presença ou risco de alergénios nos pratos. Importa esclarecer que:
Estes tratamentos incidem sobre o conteúdo dos menus e não sobre o perfil de saúde do titular; o perfil de alergénios do titular não é transmitido aos subcontratantes de inteligência artificial.
A inferência não produz decisões individuais automatizadas com efeitos jurídicos ou efeitos que afetem significativamente o titular na aceção do artigo 22.º do RGPD: trata-se de informação de apoio à decisão, sempre assinalada como «não verificada», cabendo ao titular a decisão final e a confirmação junto do estabelecimento.
A informação declarada oficialmente (matrizes de alergénios das cadeias) prevalece sobre a informação inferida, e apenas os pratos confirmados pelo estabelecimento são classificados como verificados.
11. Destinatários, Subcontratantes e Transferências Internacionais
O Responsável pelo Tratamento recorre a subcontratantes que tratam dados pessoais por sua conta, ao abrigo de contratos de subcontratação conformes ao artigo 28.º do RGPD. Os principais subcontratantes são:
Subcontratante
Serviço prestado
Localização / Garantias
Amazon Web Services (AWS)
Alojamento, base de dados (PostgreSQL em instância EC2), autenticação (Cognito), distribuição de conteúdos (CloudFront/S3)
Regiões da União Europeia; contrato de subcontratação (DPA) da AWS
Anthropic PBC
Modelos de IA (OCR e inferência) via Claude API, aplicados a conteúdos de menus
EUA; Cláusulas Contratuais-Tipo (CCT) e DPA; dados de saúde do titular não são transmitidos
Sempre que ocorram transferências de dados pessoais para países terceiros, o Responsável pelo Tratamento assegura a existência de um fundamento válido nos termos do Capítulo V do RGPD, designadamente decisão de adequação ou Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia, complementadas, quando necessário, por medidas suplementares. Os dados pessoais dos titulares são alojados em regiões da União Europeia.
12. Prazos de Conservação
Os dados pessoais são conservados apenas durante o período necessário à realização das finalidades para que foram recolhidos, de acordo com os seguintes critérios:
Dados de conta e perfil de alergénios: enquanto a conta se mantiver ativa; eliminados na sequência da eliminação da conta ou da retirada do consentimento, salvo obrigação legal de conservação.
Contribuições da comunidade (fotografias e submissões): enquanto aguardam validação, ficam associadas à conta do contribuidor, visíveis apenas para ele, e são eliminadas se não forem validadas ao fim de 90 dias; ao eliminar a conta, essa associação é removida. Os conteúdos aprovados integram a base de dados do Serviço de forma anonimizada quanto ao contribuidor. Os contributos de convidados ficam guardados no dispositivo até serem associados a uma conta ou validados.
Registos técnicos e de segurança (incluindo IP): conservados pelo período estritamente necessário às finalidades de segurança e de cumprimento legal, e posteriormente eliminados ou anonimizados.
Dados de utilizadores convidados: conservados localmente no dispositivo do titular, sob o seu controlo.
13. Medidas de Segurança
O Responsável pelo Tratamento aplica medidas técnicas e organizativas adequadas para assegurar um nível de segurança apropriado ao risco, nos termos do artigo 32.º do RGPD, designadamente:
Autenticação por tokens (JWT) validados por JWKS e gestão de identidades através do Amazon Cognito;
Comunicações cifradas em trânsito (HTTPS/TLS), cabeçalhos de segurança e política de segurança de conteúdos (CSP);
Controlo de origens (CORS) por lista de autorização, limitação da dimensão dos pedidos e limitação de frequência por endereço IP;
Segregação de acessos: o front-end não acede diretamente a qualquer base de dados, sendo todo o tratamento mediado por interface aplicacional (API);
Registo de acessos e de utilização, e definição de tetos de custo para operações de inteligência artificial;
Princípio do «declarado prevalece sobre inferido» e não classificação de informação inferida como segura, enquanto salvaguarda de segurança da informação alergénica.
14. Direitos dos Titulares dos Dados
Nos termos dos artigos 15.º a 22.º do RGPD, o titular tem direito a:
Acesso – obter a confirmação de que os seus dados são tratados e aceder aos mesmos (art. 15.º);
Retificação – obter a correção de dados inexatos ou incompletos (art. 16.º);
Apagamento – obter o apagamento dos seus dados («direito a ser esquecido»), nos termos do art. 17.º;
Limitação – obter a limitação do tratamento (art. 18.º);
Portabilidade – receber os dados num formato estruturado, de uso corrente e de leitura automática (art. 20.º);
Oposição – opor-se ao tratamento fundado em interesse legítimo (art. 21.º);
Retirada do consentimento – retirar, a todo o tempo, o consentimento prestado, nomeadamente para o tratamento do perfil de alergénios.
O titular pode exercer estes direitos mediante contacto para [ENDEREÇO DE CORREIO ELETRÓNICO]. O Responsável pelo Tratamento responde no prazo de um mês, prorrogável nos termos do artigo 12.º, n.º 3, do RGPD. O exercício destes direitos é gratuito, salvo em caso de pedidos manifestamente infundados ou excessivos.
15. Cookies e Tecnologias de Armazenamento Local
O AllerCarte utiliza armazenamento local do navegador (localStorage) para conservar a sessão e, no caso dos utilizadores convidados, o perfil de alergénios no dispositivo. São ainda utilizadas tecnologias estritamente necessárias ao funcionamento e à segurança do Serviço. As tecnologias que não sejam estritamente necessárias apenas são utilizadas mediante consentimento do titular, nos termos da Lei n.º 41/2004.
15.1. Estatísticas de utilização anónimas
Para melhorar o Serviço, o AllerCarte mede, de forma agregada, o número de visitas, o tempo visível em cada página, os restaurantes consultados, um conjunto fechado de ações (por exemplo, abrir um menu ou alterar o filtro), o tipo de acesso (convidado, conta, administrador de restaurante), a classe de dispositivo, o idioma e a zona geográfica numa grelha de cerca de 11 km (a zona do mapa consultada e, apenas quando o titular já tiver autorizado a localização no navegador, a zona onde se encontra). Estas medições não criam nem utilizam qualquer identificador persistente, não guardam o endereço IP nem o agente do navegador (que só são usados, em memória, para estimar quantos visitantes distintos há por dia, através de uma impressão digital irreversível calculada com uma chave aleatória destruída à meia-noite, pelo que ninguém pode ser seguido de um dia para o seguinte) e nunca incluem o perfil de alergénios e são convertidas, à chegada, em contadores diários que não permitem identificar ninguém, conservados durante cerca de 13 meses. Por omissão, esta medição não guarda nem lê nada no dispositivo do titular.
Para as contas registadas, o Serviço conta ainda, uma vez por dia, se a conta é nova ou regressa e há quanto tempo (por intervalos), a partir do registo de último acesso que já conserva para a gestão das contas; apenas o total agregado é guardado. Para saber quantas contas usam o Serviço com regularidade, cada conta guarda ainda, nos últimos 30 dias, apenas quais os dias em que foi aberta (sem horas, sem páginas e sem o que fez), que se apaga sozinho com o tempo; o painel mostra apenas totais. Esta medição assenta no interesse legítimo do Responsável pelo Tratamento em melhorar o Serviço (art. 6.º, n.º 1, al. f), do RGPD). O titular pode opor-se a qualquer momento, desativando as estatísticas no perfil, o que interrompe toda a medição; os sinais Global Privacy Control e Do Not Track do navegador são respeitados como oposição. Para respeitar essa escolha, o Serviço guarda no dispositivo apenas a indicação de que as estatísticas foram desativadas.
16. Violações de Dados Pessoais
Em caso de violação de dados pessoais suscetível de resultar num risco para os direitos e liberdades dos titulares, o Responsável pelo Tratamento notifica a Comissão Nacional de Proteção de Dados no prazo de 72 horas após ter tido conhecimento da mesma, nos termos do artigo 33.º do RGPD, e comunica-a aos titulares afetados sempre que dela resulte um risco elevado, nos termos do artigo 34.º.
17. Reclamações à Autoridade de Controlo
Sem prejuízo de qualquer outra via de recurso administrativo ou judicial, o titular tem o direito de apresentar reclamação junto da autoridade de controlo competente:
Comissão Nacional de Proteção de Dados (CNPD) – Av. D. Carlos I, n.º 134, 1.º, 1200-651 Lisboa – geral@cnpd.pt – www.cnpd.pt.
18. Alterações à Presente Política
O Responsável pelo Tratamento pode atualizar a presente Política sempre que necessário. A versão em vigor é sempre a publicada no Serviço, com indicação da respetiva data. As alterações substanciais são comunicadas aos titulares por meio adequado.
19. Contactos
Para quaisquer questões relativas à presente Política ou ao tratamento dos seus dados pessoais, contacte: [DENOMINAÇÃO SOCIAL] – [ENDEREÇO DE CORREIO ELETRÓNICO] – Encarregado de Proteção de Dados: [ENDEREÇO DE CORREIO ELETRÓNICO DO EPD].
O AllerCarte é informativo e não substitui a confirmação dos alergénios
no restaurante. Para usar o mapa, o JavaScript tem de estar ativo.
Mapa de alergénios ·
Todos os restaurantes ·
Termos ·
Privacidade