Política de privacidade

1Quem é o responsável pelo tratamento

2Quando somos responsáveis e quando somos subcontratantes

A Renterus desempenha dois papéis diferentes consoante o tipo de dados:

Como responsável pelo tratamento

Decidimos para quê e como os dados são tratados, e esta política aplica-se integralmente, nos seguintes casos:

• os dados da conta de utilizador que o próprio regista e gere (identificação, contacto, credenciais, preferências);
• os dados das empresas clientes e dos seus representantes e contactos, para contratar, faturar e prestar o serviço;
• os dados técnicos e de segurança da Plataforma (registos de acesso, dispositivos, erros);
• os pedidos de suporte e as comunicações comerciais que aceite receber;
• os visitantes dos nossos sites.

Como subcontratante, por conta de uma empresa

As empresas que contratam a Renterus utilizam-na para gerir as suas relações com terceiros. Os dados gerados nessas relações são tratados pela Renterus por conta da empresa e segundo as suas instruções, sendo a empresa a responsável pelo tratamento. Por exemplo:

• os registos de tempos de trabalho (controlo de horário) dos trabalhadores, incluindo a localização da marcação, os horários, as férias e as ausências;
• os contratos, recibos de vencimento e demais documentação laboral que a empresa partilha com os seus trabalhadores;
• os documentos assinados através da Plataforma e as respetivas evidências de assinatura;
• os dados de hóspedes, reservas e clientes da empresa, incluindo a verificação da sua identidade e o registo de viajantes;
• os dados de proprietários (liquidações, contas bancárias, faturas);
• os transferes: dados de passageiros e localização do motorista durante o trajeto;
• os relatórios de trabalho e de limpeza, a gestão de chaves, o chat e as notas internas da empresa;
• as faturas que a empresa emite aos seus clientes.

Para estes dados, é a empresa que decide a finalidade e o fundamento jurídico e que deve informá-lo (normalmente, através da sua própria política de privacidade ou da informação que lhe dá como trabalhador, cliente ou hóspede). Se quiser exercer os seus direitos sobre eles, dirija-se primeiro à empresa. Se nos escrever, transmitiremos o seu pedido à empresa responsável e ajudá-la-emos a dar-lhe resposta, tal como exige o artigo 28.º do RGPD.

As condições em que atuamos como subcontratantes constam do Acordo de subcontratação do tratamento, que faz parte das Condições de utilização e contratação.

3Que dados tratamos como responsáveis, para quê e durante quanto tempo

Os dados que tratamos como responsáveis, a finalidade, o fundamento jurídico e o prazo de conservação de cada tratamento são os seguintes:

Os dados assinalados como obrigatórios nos formulários são necessários para prestar o serviço; se não os fornecer, não poderemos atender o pedido ou criar a conta.

Quando uma empresa o convida para a Plataforma, obtemos dela alguns dos seus dados (nome, e-mail ou telefone) para lhe enviar o convite. A partir desse momento, é o próprio que gere a sua conta.

4Dados de localização na aplicação móvel

A aplicação móvel da Renterus acede à localização precisa do dispositivo (coordenadas de latitude e longitude obtidas por GPS) apenas para as funções seguintes. Exceto no caso dos cacifos de chaves, explicado mais abaixo, tratamos a localização por conta da empresa para a qual trabalha ou com a qual contrata o serviço, que é a responsável pelo tratamento.

Controlo de horário

Ao registar a entrada ou a saída do trabalho (marcação), é guardada a localização do dispositivo nesse momento para comprovar o local do registo. A app não segue a sua localização entre marcações.

Serviço de transferes

• Quando um motorista inicia um trajeto, a app partilha a sua localização em tempo real com o cliente desse transfere para que possa acompanhar a viagem. A partilha é iniciada pelo próprio motorista.
• Enquanto a viagem decorre, a partilha pode continuar com a app em segundo plano ou com o ecrã desligado. Para isso é utilizado um serviço em primeiro plano que mostra uma notificação visível enquanto dura.
• A localização em segundo plano é utilizada exclusivamente para o acompanhamento do trajeto e apenas enquanto há uma viagem ativa. Não se recolhe a localização em segundo plano fora de um trajeto em curso.
• A partilha termina automaticamente no fim do trajeto.

Outras funções

Se conceder a permissão, a localização também é registada ao iniciar e terminar os relatórios de trabalho e de limpeza e ao assinar documentos, como evidência do local em que são realizados.

Se for hóspede e utilizar os cacifos de chaves, a app pode utilizar a sua localização para ordenar os cacifos por proximidade. Essa localização serve apenas para calcular a distância e não é guardada.

Destinatários, finalidades e controlo

• Durante um transfere, a localização do motorista é comunicada ao cliente desse transfere. A localização das marcações é vista pela empresa para a qual trabalha e, quando a lei o exige, pode ser disponibilizada à Inspeção do Trabalho.
• A Renterus não vende os dados de localização, não os utiliza para fins publicitários e não os partilha com terceiros para fins diferentes dos descritos.
• O fundamento jurídico é determinado pela empresa responsável. Em geral, é a execução do contrato ou do serviço e o cumprimento da obrigação legal de registo de tempos de trabalho. Além disso, o acesso à localização requer as permissões que concede no sistema operativo do seu dispositivo.
• Os dados são conservados pelo tempo necessário para essas finalidades e pelos prazos legais (por exemplo, 4 anos para os registos de tempos de trabalho, art. 34.º, n.º 9, do Estatuto dos Trabalhadores espanhol), sendo depois apagados ou anonimizados.
• Pode conceder ou retirar as permissões de localização a qualquer momento nas definições do dispositivo. Retirá-las pode impedir a utilização do controlo de horário ou do acompanhamento de transferes.

5Notificações push e outras permissões do dispositivo

Notificações push. Se o autorizar, a app recebe notificações (novas mensagens, documentos pendentes de assinatura, alterações em reservas ou transferes, avisos de horário, etc.). Para as enviar, geramos um identificador do dispositivo que é transmitido aos serviços de notificações da Expo, da Google (Firebase Cloud Messaging) e da Apple (APNs). Pode desativá-las quando quiser nas definições do dispositivo.

Câmara, fotografias e microfone. São utilizados apenas quando o próprio o faz: para anexar fotografias ou documentos (por exemplo, no chat, em incidentes ou ao digitalizar um documento) ou para gravar notas de áudio nos relatórios de trabalho.

Desbloqueio biométrico (Face ID / impressão digital). Se o ativar, o desbloqueio é feito no seu dispositivo com os mecanismos próprios deste. A Renterus não recebe nem armazena os seus dados biométricos.

WhatsApp e e-mail. Alguns avisos e códigos de verificação podem ser enviados por e-mail ou por WhatsApp para o número que conste da Plataforma.

6Assistente de inteligência artificial (Erus)

A Plataforma inclui o Erus, um assistente de inteligência artificial ao qual pode fazer perguntas a partir do chat da app e da web: por exemplo, sobre o seu horário, as suas marcações, as suas férias ou os seus recibos de vencimento ou, se gerir uma empresa, sobre a sua equipa, as suas faturas ou as suas propriedades. A sua utilização é opcional.

Para lhe responder, o Erus consulta na Plataforma apenas os dados a que já tem acesso com as suas permissões e envia a sua pergunta e esses dados à OpenAI, que gera a resposta. A OpenAI atua como subcontratante, não utiliza estes dados para treinar os seus modelos e só os conserva temporariamente, até 30 dias, para prevenir abusos.

Guardamos o histórico do seu chat com o Erus enquanto a sua conta estiver ativa, para que o possa consultar, e um registo das consultas que faz, para fins de segurança, durante o prazo indicado para os registos de segurança. Se escrever para o número de WhatsApp da Renterus, a sua mensagem também é guardada nesse histórico.

As respostas do Erus são orientativas e não produzem decisões sobre si; confirme os dados importantes na secção correspondente da Plataforma. Quando o Erus consulta dados da sua relação com uma empresa (por exemplo, as suas marcações ou os seus recibos de vencimento), a Renterus trata-os por conta dessa empresa, tal como os restantes dados.

7Destinatários e fornecedores (subcontratantes)

Não vendemos dados pessoais. Só os comunicamos a terceiros quando é necessário para prestar o serviço, quando a empresa responsável o ordena ou quando a lei o exige (por exemplo, à Administração Tributária espanhola, aos tribunais ou às forças de segurança).

Para prestar o serviço contamos com os fornecedores seguintes, que atuam como subcontratantes (ou subcontratantes ulteriores, quando tratamos os dados por conta de uma empresa) e com os quais assinámos os compromissos exigidos pelo artigo 28.º do RGPD:

Além disso, quando uma empresa liga a Plataforma a outro serviço (por exemplo, um canal de reservas), os dados necessários são comunicados a esse serviço, escolhido pela empresa, e segundo as suas instruções.

Manteremos esta lista atualizada. As empresas clientes receberão aviso prévio das alterações nos termos do Acordo de subcontratação do tratamento.

8Transferências internacionais

Alguns dos fornecedores anteriores estão situados nos Estados Unidos ou podem aceder aos dados a partir desse país. Só realizamos estas transferências com garantias adequadas, nos termos do capítulo V do RGPD:

• a decisão de adequação da Comissão Europeia relativa ao Quadro de Privacidade de Dados UE-EUA (Data Privacy Framework), para os fornecedores certificados;
• ou, na sua falta, as cláusulas contratuais-tipo aprovadas pela Comissão Europeia (art. 46.º, n.º 2, al. c), RGPD), com as medidas complementares que se justifiquem.

A garantia de cada fornecedor situado fora do Espaço Económico Europeu, ou que pode aceder aos dados a partir de fora, é a seguinte:

• Google, Apple, Expo e Sentry: estão certificados no Quadro de Privacidade de Dados UE-EUA.
• WhatsApp: o serviço é prestado pela WhatsApp Ireland Limited; as suas transferências para a WhatsApp LLC e a Meta Platforms, Inc. baseiam-se no Quadro de Privacidade de Dados UE-EUA.
• OpenAI: o serviço é prestado pela OpenAI Ireland Limited; as suas transferências para outras entidades da OpenAI fora do EEE baseiam-se em cláusulas contratuais-tipo.
• Amazon Web Services: o serviço é prestado pela Amazon Web Services EMEA SARL e as imagens são processadas na Irlanda; qualquer acesso a partir de fora do EEE baseia-se nas cláusulas contratuais-tipo da sua adenda de tratamento de dados e no Quadro de Privacidade de Dados UE-EUA.
• Su: o serviço é prestado pela STAAH Limited, na Nova Zelândia, país que, segundo a Comissão Europeia, oferece um nível de proteção adequado (art. 45.º RGPD).

A ADW Europe, a MongoDB Atlas, a Redsys e a Verifacti tratam os dados dentro do Espaço Económico Europeu. Pode pedir-nos uma cópia das garantias escrevendo para legal@renterus.com.

9Decisões automatizadas

A Renterus não toma decisões baseadas exclusivamente no tratamento automatizado que produzam efeitos jurídicos sobre si ou que o afetem significativamente de forma semelhante.

Quando uma empresa utiliza a verificação de identidade de hóspedes, a leitura do documento e a comparação facial são ferramentas de apoio que a Plataforma oferece a essa empresa. A empresa é a responsável por esse tratamento e pelas decisões que tomar com o seu resultado. Nenhuma das duas decide sozinha: se a verificação falhar, o hóspede pode repeti-la ou introduzir os seus dados manualmente, e a empresa pode revê-los.

10Os seus direitos e como exercê-los

Pode exercer a qualquer momento os seguintes direitos:

• Acesso: saber se tratamos os seus dados e obter uma cópia.
• Retificação: corrigir os dados inexatos ou incompletos. Muitos pode alterá-los o próprio em «Os Meus Dados» na web ou «Dados Pessoais» na app.
• Apagamento: pedir que apaguemos os seus dados quando já não forem necessários, entre outros casos. Para eliminar a sua conta, siga os passos de Eliminar a sua conta.
• Oposição: opor-se aos tratamentos baseados no interesse legítimo e, sempre, às comunicações comerciais.
• Limitação: pedir que conservemos os dados sem os tratar enquanto se resolve uma reclamação.
• Portabilidade: receber os dados que nos forneceu num formato estruturado e de uso corrente, ou que os enviemos a outro responsável.
• Retirar o consentimento a qualquer momento, sem que isso afete a licitude do tratamento anterior.
• Não ficar sujeito a decisões automatizadas, nos termos do artigo 22.º do RGPD.

Como exercê-los. Escreva para legal@renterus.com com o assunto «Proteção de dados», ou por correio postal para a morada da secção 1. Indique que direito quer exercer. Se tivermos dúvidas razoáveis sobre a sua identidade, poderemos pedir-lhe informação adicional para a confirmar. Responderemos no prazo de um mês, prorrogável por mais dois meses se o pedido for complexo, caso em que o avisaremos.

Dados que tratamos por conta de uma empresa. Se o seu pedido disser respeito a dados da sua relação com uma empresa (registos de tempos de trabalho, localização de marcações, documentos assinados, reservas, etc.), dirija-o a essa empresa, que é a responsável. Se o recebermos nós, transmiti-lo-emos e ajudá-la-emos a responder-lhe.

11Reclamação junto da autoridade de controlo

Se considerar que não tratámos os seus dados corretamente, pode apresentar uma reclamação junto da Agência Espanhola de Proteção de Dados (C/ Jorge Juan 6, 28001 Madrid, www.aepd.es) ou junto da autoridade de controlo do seu país de residência na União Europeia. Agradecemos que nos escreva primeiro para tentarmos resolver a situação.

12Segurança

Aplicamos medidas técnicas e organizativas adequadas ao risco para proteger os dados: comunicações cifradas, palavras-passe guardadas com algoritmos de hash, controlo de acesso por permissões, separação dos dados de cada empresa, registos de atividade, cópias de segurança e compromissos de confidencialidade do pessoal.

A Renterus tem um sistema de gestão da segurança da informação certificado segundo a norma UNE-EN ISO/IEC 27001:2023 pela OCA Instituto de Certificación (certificado n.º 34/5700/25/05280, válido até 23 de maio de 2028). A base de dados funciona num cluster de três nós e, além disso, é feita uma cópia de segurança diária.

Nenhum sistema é infalível. Se ocorrer uma violação de segurança, atuaremos e notificaremos nos termos dos artigos 33.º e 34.º do RGPD.

13Menores

A Plataforma destina-se a empresas e profissionais, e não foi pensada para ser utilizada por menores de 14 anos. Os dados de menores que uma empresa possa registar (por exemplo, hóspedes acompanhantes) são tratados pela Renterus por conta dessa empresa, que é a responsável por fazê-lo com o fundamento jurídico adequado.

14Cookies e armazenamento local

O new.renterus.com utiliza apenas cookies técnicas, necessárias ao funcionamento do serviço, como a sessão do utilizador (user_token), o idioma (lang) e o tema visual (theme). Também guarda preferências no armazenamento local do navegador. Estas cookies estão isentas de consentimento nos termos do artigo 22.º, n.º 2, da LSSI-CE. O detalhe de cada uma está na Política de cookies.

Alguns ecrãs carregam mapas do Google Maps, que podem instalar as suas próprias cookies ou recolher dados técnicos segundo a política da Google. A informação sobre as cookies de www.renterus.com está na sua Política de cookies.

15Alterações a esta política

Podemos atualizar esta política para a adaptar a alterações legais ou do serviço. A versão em vigor é a publicada nesta página, com a versão e a data do seu cabeçalho. Se as alterações forem importantes, avisá-lo-emos através da Plataforma ou por e-mail.