Política de Privacidade

1. Responsável

O responsável, nos termos do Regulamento Geral sobre a Proteção de Dados (RGPD), é:

Sviatoslav Karapka
Bahnstraße 36
16727 Velten
Alemanha
E-Mail: info@lushly.world
Telefone: +49 152 0677 7974

2. Informações gerais sobre o processamento de dados

A Lushly é um mercado online que liga clientes finais a salões de beleza e bem-estar independentes. Processamos dados pessoais dos nossos utilizadores exclusivamente, na medida em que tal seja necessário para o fornecimento de um website funcional, bem como dos nossos conteúdos e serviços.

O tratamento de dados pessoais dos nossos utilizadores ocorre, regra geral, apenas com o consentimento do utilizador ou para a execução de um contrato. É aplicada uma exceção nos casos em que a obtenção prévia de consentimento não é possível por motivos de facto e o tratamento dos dados é permitido por disposições legais.

As bases legais são o Art. 6.º, n.º 1, alínea a) (consentimento), alínea b) (execução de contrato), alínea c) (obrigação legal) e alínea f) do RGPD (interesse legítimo).

3. Que dados recolhemos

3.1 Ao registar-se como cliente

• Nome e apelido
• Endereço de e-mail
• Número de telefone (opcional)
• Palavra-passe (armazenada de forma encriptada com bcrypt)
• Imagem de perfil (opcional, carregada pelo utilizador ou via Google/Facebook no início de sessão OAuth)
• Preferência de idioma

3.2 Ao registar-se como Salão / Profissional

• Nome do negócio, morada, telefone, endereço de e-mail
• Descrição, Fotos, Preços, Serviços, Horário de funcionamento
• Na ativação da Stripe: Dados bancários e dados fiscalmente relevantes — armazenados exclusivamente na Stripe, não connosco.
• Perfis de Master (Nome, Foto, Idiomas, Experiência, Portfólio) — configurado pelo operador do salão

3.3 Ao fazer uma reserva

• Nome, endereço de e-mail, número de telefone do cliente que efetua a reserva
• Serviço selecionado, data, hora, preço, duração
• Para pedidos de consulta (ex: tatuagem): descrição da ideia, medidas/local no corpo, se aplicável, fotos de referência
• No pagamento online: não guardamos dados do cartão — o processamento é feito exclusivamente pela Stripe (certificada PCI-DSS Nível 1)
• No caso de uma subscrição paga do salão: Nome, endereço de e-mail e endereço de faturação para efeitos de cobrança, bem como um identificador de cliente e de subscrição da Stripe. Os meios de pagamento (cartão, mandato SEPA) são armazenados exclusivamente na Stripe
• Avaliações (1–5 estrelas) e comentários após a conclusão da reserva
• Mensagens de chat entre cliente e salão (através da função de mensagens interna da plataforma)

3.4 Dados recolhidos automaticamente (Registos do servidor)

• Endereço IP (anonimizado após 7 dias)
• Tipo e versão do navegador, Sistema operativo
• Data e hora do acesso
• URL de referência (página visitada anteriormente)
• Região geográfica (aproximada, ao nível da cidade, baseada no IP)
• ID de sessão para analytics próprios da plataforma (sem referência pessoal)

Estes dados servem para a segurança e para a análise própria da plataforma (Taxa de rejeição, Fontes de tráfego, Desempenho). Uma transmissão para serviços externos como Google Analytics ou Meta ocorre apenas se o utilizador tiver dado o seu consentimento explícito no banner de cookies (cookies de análise para Google Analytics ou cookies de marketing para o Meta Pixel).

3.5 Dados de localização (Geolocalização)

Com o consentimento expresso do utilizador (permissão do navegador "Encontrar nas proximidades"), a localização aproximada é utilizada para exibir salões na área. A localização é processada exclusivamente no lado do cliente e não é armazenada na nossa base de dados.

4. Finalidade e base legal do tratamento

5. Partilha com terceiros (Subcontratantes)

Partilhamos dados exclusivamente nos seguintes casos e com base em contratos de subcontratação correspondentes (contratos de subcontratação) de acordo com o Art. 28 do RGPD:

• IONOS SE (Montabaur, Deutschland) — Alojamento da plataforma. Os servidores estão localizados na Alemanha. Em conformidade com o RGPD.
• Stripe Payments Europe, Ltd. (Dublin, Irland) — Processamento de pagamentos. Certificado PCI-DSS Nível 1, em conformidade com o RGPD. Proteção de Dados da Stripe
• Salão que reserva — recebe nome, contacto e detalhes da reserva para a execução do contrato. Os salões são responsáveis autónomos no sentido do RGPD.
• Google Ireland Limited (Gemini API) — traduções automáticas de textos de UI e descrições de salões. São transmitidos exclusivamente conteúdos públicos (por exemplo, descrições de salões), não sendo transmitidos dados pessoais dos clientes finais. Privacidade do Google
• Groq, Inc. (USA) — AI-Insights para proprietários de salões. Apenas estatísticas agregadas e anonimizadas são transmitidas. Cláusulas contratuais padrão, de acordo com o Art. 46 do RGPD, garantem a proteção de dados.
• Meta Platforms Ireland Limited (Meta Pixel) — apenas com o consentimento explícito no banner de cookies. É utilizado exclusivamente para campanhas de marketing. Proteção de Dados da Meta
• Google Ireland Limited (Google Analytics 4) — apenas com o consentimento expresso no banner de cookies (cookies de análise). Serve para a análise anonimizada de alcance e utilização; os endereços IP são encurtados/anonimizados. Transmissão de dados para os EUA com base no EU-US Data Privacy Framework e/ou nas cláusulas contratuais-tipo da UE. Privacidade do Google
• Fornecedor SMTP (Fornecedor WP Mail SMTP) — Envio de e-mails transacionais (confirmações de reserva, lembretes, redefinição de palavra-passe).
• n8n (self-hosted, EU) — Fluxos de trabalho de automação. Servidores na UE.

Nenhuma outra transmissão a terceiros ocorre. Em particular, não vendemos dados.

5a. Utilização de IA (Inteligência Artificial)

Utilizamos inteligência artificial (IA) em duas áreas:

1. Traduções: Para a disponibilização multilingue dos nossos conteúdos, utilizamos o sistema de IA Google Gemini (Google Ireland Limited). As traduções de conteúdos não alemães podem ser geradas por máquina; sendo sempre a versão original alemã a prevalecer.

2. Chat de Suporte com IA: O nosso chat de suporte (no Messenger e na página de Ajuda) é respondido por um assistente de IA (chatbot). No início do chat, ser-te-á claramente indicado que estás a comunicar com um sistema de IA (Art. 50 do Regulamento de IA). Para ajuda pessoal, podes contactar info@lushly.world a qualquer momento.

Base jurídica: Art. 6, n.º 1, alínea b) do RGPD (execução de contrato) e alínea f) do RGPD (interesse legítimo em suporte eficiente e disponibilização multilingue).

5b. Mercado de Anúncios (Empregos & Espaços)

Na nossa secção de anúncios („Empregos & Espaços"), os utilizadores registados podem publicar os seus próprios anúncios (por exemplo, ofertas de emprego, aluguer de espaços e postos de trabalho), bem como responder a anúncios de outros. Neste processo, são tratados os seguintes dados:

Criar anúncio: Título, descrição, categoria, local, preço, bem como os dados de contacto que forneceste (e-mail e/ou número de telefone) e imagens carregadas opcionalmente. Estes dados são – com exceção dos dados de contacto – visíveis publicamente. O teu e-mail de contacto não é exibido diretamente aos interessados, mas apenas utilizado para o reencaminhamento de pedidos de informação.

Responder a um anúncio: Quando respondes a um anúncio através do formulário de contacto, o teu nome, o teu endereço de e-mail e a tua mensagem são reencaminhados por e-mail para o anunciante, para que este te possa responder. Os dados de contacto de ambas as partes permanecem ocultos na plataforma.

Lista de Desejos (Favoritos): Quando adiciona anúncios aos favoritos, guardamos os respetivos identificadores de anúncio na sua conta de utilizador, para que os possa encontrar mais tarde.

Pesquisas Guardadas e Notificações: Pode guardar critérios de pesquisa (p. ex., categoria, local, palavra-chave). Guardamos estes critérios na sua conta e enviamos-lhe uma notificação por e-mail, assim que um novo anúncio corresponda à sua pesquisa guardada. Pode cancelar estas notificações a qualquer momento, ao eliminar a pesquisa guardada na sua conta.

Estatísticas de Visualização: Para exibir o número de visualizações de um anúncio, guardamos temporariamente um valor pseudonimizado (hash) do seu endereço IP, para evitar contagens múltiplas. Não ocorre a identificação de indivíduos neste processo.

Denúncias: Se denunciar um anúncio, processamos o motivo indicado e uma observação opcional, para analisar o anúncio.

Base jurídica: Art. 6.º, n.º 1, alínea b) do RGPD (execução das funções solicitadas por si) bem como alínea f) do RGPD (interesse legítimo num mercado de anúncios funcional e livre de abusos). As notificações de pesquisas guardadas baseiam-se na alínea b) e na sua utilização desta função, que pode ser revogada a qualquer momento.

Visibilidade dos seus dados: Título, descrição, categoria, local, preço e imagens de um anúncio são publicamente visíveis e podem ser indexados por motores de busca. O seu endereço de e-mail e o seu número de telefone NÃO serão exibidos publicamente — servem exclusivamente para a entrega de notificações. O contacto é feito através da área de mensagens interna.

Após o termo: Anúncios expirados são removidos da visão geral e da pesquisa, mas permanecem na sua conta até que os elimine. Se eliminar um anúncio, removemos os seus conteúdos e imagens. As conversas já realizadas não são afetadas por isso, para que ambas as partes mantenham o histórico.

Denúncias: Se denunciar um anúncio, guardamos a denúncia com o registo de tempo e — se tiver sessão iniciada — o seu ID de utilizador. Isto é necessário para detetar múltiplas denúncias e manter o processo rastreável. Base jurídica: Art. 6.º, n.º 1, alínea c) do RGPD, em conjunto com o Art. 16.º do Regulamento (UE) 2022/2065, bem como o Art. 6.º, n.º 1, alínea f) do RGPD. Período de armazenamento: doze meses.

5c. Assistente do Telegram

Salões e mestres/as podem ligar voluntariamente a sua conta ao nosso Assistente Telegram para receber e responder diretamente a pedidos de reserva. A ligação é opcional e pode ser revogada a qualquer momento — na conta, em "Assistente Telegram" ou com o comando /stop no chat.

São processados: o ID de chat do Telegram, o nome de exibição lá registado, o idioma selecionado, bem como o conteúdo das notificações (compromisso, serviço, nome abreviado do/a cliente, mensagens do chat). Nomes completos, números de telefone e endereços de e-mail não são intencionalmente transmitidos ao Telegram.

Transmissão para um País Terceiro: O fornecedor é a Telegram FZ-LLC, Dubai, Emirados Árabes Unidos. Não existe uma decisão de adequação da Comissão Europeia para os EAU. A transmissão é feita com base no seu consentimento expresso, nos termos do Art. 49.º, n.º 1, alínea a) do RGPD, que concede ao ligar a conta. Sem ligação, não ocorre transmissão.

Histórico do/a Cliente no Assistente: Ao aceder a uma reserva, o salão pode consultar o histórico anterior deste/a cliente no seu próprio salão: número de visitas, data da última visita, serviços utilizados, notas próprias do salão, bem como não comparências. Trata-se de dados que o salão já gere — são apenas apresentados de forma diferente.

Base jurídica: Art. 6.º, n.º 1, alínea a) do RGPD (consentimento) para a transmissão ao Telegram, Art. 6.º, n.º 1, alínea b) do RGPD para a apresentação do histórico. Período de armazenamento: até à desconexão da ligação.

5d. Proteção contra acessos não autorizados

Para proteger as contas, registamos tentativas de login falhadas com endereço IP, registo de tempo e nome de utilizador utilizado. Se houver um acúmulo de tentativas falhadas de uma área de rede, esta será temporariamente bloqueada — aumentando de uma hora até sete dias.

Este bloqueio é uma medida automatizada, mas não produz efeitos jurídicos na aceção do Art. 22.º do RGPD: é afetado exclusivamente o acesso à máscara de login, não um contrato existente. Os bloqueios expiram automaticamente e podem ser levantados imediatamente mediante pedido.

Base jurídica: Art. 6.º, n.º 1, alínea f) do RGPD. O nosso interesse legítimo reside na proteção das contas dos nossos utilizadores/as contra a apropriação. Período de armazenamento: 90 dias.

5e. Confirmação de e-mail, Lista de favoritos e Lista de espera

Confirmação de e-mail: Após o registo, enviamos um link de confirmação. Será guardado um token de uso único em formato encriptado, bem como a hora do envio. Sem confirmação, não é possível publicar anúncios. Base legal: Art. 6, n.º 1, alíneas b) e f) do RGPD.

Notificações sobre anúncios favoritos: Se marcares um anúncio como favorito, guardaremos a sua identificação e a data/hora. Daqui resultam dois tipos de mensagens: uma notificação quando o preço ou o estado do anúncio se altera, bem como um único lembrete após dois dias, caso ainda não tenhas contactado a pessoa que oferece o serviço. Ambas as opções podem ser desativadas em Conta → E-mails. Base legal: Art. 6, n.º 1, alínea f) do RGPD.

Lista de espera: Se um horário estiver ocupado, podes entrar na lista de espera. Serão guardados o horário desejado, os dados de contacto e um token de uso único para o link de confirmação. Eliminação após 30 dias ou com o cancelamento. Base legal: Art. 6, n.º 1, alínea b) do RGPD.

5f. Verificação de imagens carregadas

Cada imagem carregada é verificada automaticamente: quanto a metadados que indiquem geração por IA (C2PA, IPTC), quanto a componentes de programa incorporados para proteção contra software malicioso e quanto à correspondência com imagens de IA já conhecidas.

Para este fim, calculamos a partir da imagem um valor numérico curto que descreve a sua estrutura de brilho aproximada. A imagem não pode ser restaurada a partir dele; serve exclusivamente para comparação. Não ocorre reconhecimento facial ou de pessoas.

Base legal: Art. 6, n.º 1, alínea c) do RGPD (obrigação de rotulagem de acordo com o Art. 50 do Regulamento IA) e Art. 6, n.º 1, alínea f) do RGPD (segurança dos nossos sistemas).

6. Cookies e tecnologias semelhantes

Utilizamos apenas cookies tecnicamente necessários (sessões de login, segurança, estado de consentimento de cookies, seleção de idioma). Estes cookies são necessários para o funcionamento da plataforma e são definidos sem consentimento, de acordo com o § 25.º, n.º 2 do TDDDG.

Os cookies de marketing (Meta Pixel) são colocados exclusivamente após consentimento explícito através do nosso banner de cookies. O consentimento pode ser revogado a qualquer momento.

Para a análise própria da plataforma, armazenamos adicionalmente dados anonimizados na nossa própria base de dados (first-party).

Google Analytics 4. Com o seu consentimento expresso (cookies de análise no banner de cookies), utilizamos o Google Analytics 4 (Fornecedor: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda). O Google Analytics utiliza cookies para avaliar a utilização do website — como visualizações de página, tempo de permanência, dispositivos utilizados e a origem geográfica aproximada. Os endereços IP são processados de forma anonimizada ou abreviada. Os dados podem ser transmitidos para servidores da Google – também nos EUA; a transmissão ocorre com base no EU-US Data Privacy Framework e/ou nas Cláusulas Contratuais-Tipo da UE, de acordo com o Art. 46.º do RGPD. A base jurídica é o seu consentimento, de acordo com o Art. 6.º, n.º 1, alínea a) do RGPD. Pode revogar o seu consentimento a qualquer momento, com efeito para o futuro, através das definições de cookies. Política de Privacidade da Google

7. Duração do Armazenamento

• Conta de cliente: até à eliminação pelo utilizador
• Dados de marcação: 10 anos (obrigação de arquivo fiscal nos termos do artigo 147.º da AO)
• Avaliações: permanentes, até que o utilizador apague (anonimização possível)
• Sessões de Analytics: 12 meses
• Registos do servidor: 30 dias
• Endereços IP: 7 dias, após os quais são anonimizados
• Mensagens de chat: até à eliminação da conta
• Consentimento de marketing por e-mail: até revogação

8. Os seus direitos como titular dos dados

Como titular dos dados, tem o direito, a qualquer momento, a:

• Informação (Art. 15 DSGVO) — quais dados processamos sobre si
• Retificação (Art. 16 DSGVO) — Correção de dados incorretos
• Eliminação (Art. 17 DSGVO) — Direito a ser esquecido
• Limitação do tratamento (Art. 18 DSGVO)
• Portabilidade dos dados (Art. 20 DSGVO) — Dados em formato legível por máquina
• Oposição (Art. 21 DSGVO) — contra o processamento com base em interesse legítimo
• Revogação do consentimento (Art. 7 Abs. 3 DSGVO) — com efeito para o futuro

A eliminação da conta é possível a qualquer momento em: Mein Konto → Definições
Para questões sobre direitos de proteção de dados, por favor, envie um e-mail para: info@lushly.world

9. Direito de reclamação junto de uma autoridade de supervisão

De acordo com o Art. 77.º do RGPD, tem o direito de apresentar uma reclamação a uma autoridade de controlo de proteção de dados — nomeadamente no Estado-Membro da sua residência habitual, do seu local de trabalho ou do local da alegada infração.

O responsável por nós é:
A Comissária Estadual para a Proteção de Dados e o Direito de Acesso a Registos de Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Telefone: +49 33203 356-0
https://www.lda.brandenburg.de/

10. Segurança de Dados

Utilizamos encriptação SSL/TLS (HTTPS) para toda a transmissão de dados. As palavras-passe são codificadas com bcrypt e nunca guardadas em texto simples. Os dados de pagamento são processados exclusivamente pela Stripe (PCI-DSS Nível 1). Os backups são guardados de forma encriptada.

11. Transferência para país terceiro

Na medida em que os dados são transmitidos para países terceiros, isso ocorre com base num dos seguintes fundamentos. Para os EUA — por exemplo, através do Groq, do Meta-Pixel ou do Google Analytics — com base nas Cláusulas Contratuais-Tipo da UE, em conformidade com o Art. 46 do RGPD, e/ou numa decisão de adequação, em conformidade com o Art. 45 do RGPD (por exemplo, o Quadro de Privacidade de Dados UE-EUA). Para os Emirados Árabes Unidos — exclusivamente através do assistente opcional do Telegram, ver secção 5c — com base no teu consentimento expresso, de acordo com o Art. 49, n.º 1, alínea a) do RGPD; não existe uma decisão de adequação para os EAU. Sem a ligação do assistente do Telegram, esta transmissão não ocorre. Verificamos os destinatários cuidadosamente.

12. Decisões automatizadas, Criação de perfis

Não utilizamos processos de decisão totalmente automatizados com efeito legal. Os insights semanais gerados automaticamente para proprietários de salões servem exclusivamente para informação e não constituem uma decisão legalmente vinculativa.

13. Notificações Push (PWA)

Lushly é uma Progressive Web App (PWA). As notificações Push são enviadas apenas após o consentimento expresso do utilizador (permissão do navegador). O consentimento pode ser revogado a qualquer momento nas definições do navegador.

14. Inícios de Sessão Sociais (Google / Facebook OAuth)

Ao iniciar sessão via Google ou Facebook, os seguintes dados são-nos transmitidos: Nome, Endereço de e-mail e Imagem de perfil. Outros dados do seu perfil Google/Facebook não são recolhidos. Aplicam-se adicionalmente as políticas de privacidade da Google e da Meta, respetivamente.

15. Alterações a esta Política de Privacidade

Reservamo-nos o direito de ajustar ocasionalmente esta Política de Privacidade para a adaptar aos requisitos legais atuais ou para implementar alterações aos nossos serviços. A versão mais recente está sempre disponível para consulta nesta página. Em caso de alterações significativas, os utilizadores registados serão informados por e-mail.