1. Quem é responsável pelos dados
Tiago Ramos, titular do projeto TurnoCerto, é o responsável pelo tratamento dos dados usados na criação e gestão de contas, operação técnica, apoio, prevenção de fraude, segurança e melhoria do serviço. O contacto para assuntos de privacidade é suporte@turnocerto.eu.
TurnoCerto é a designação comercial do serviço e não a denominação de uma sociedade. Para efeitos desta Política e do RGPD, as referências à TurnoCerto identificam o responsável acima indicado e o serviço tecnológico que este disponibiliza.
O acesso é controlado, o carregamento de documentos sensíveis não está ativo e não existe processamento de pagamentos ativo. A carteira é apenas um registo operacional e contabilístico. Esta Política será atualizada antes de ativar qualquer uma dessas funcionalidades ou um novo prestador que trate dados para esse fim.
A empresa que recebe candidaturas ou gere os seus colaboradores é responsável pelos tratamentos que realiza para recrutamento, contratação, gestão laboral e cumprimento de obrigações próprias. Quando a TurnoCerto trata dados apenas segundo instruções documentadas de uma empresa, atua como subcontratante nos limites do acordo de tratamento de dados aplicável.
2. Dados pessoais que tratamos
Os dados variam conforme o tipo de conta e as funcionalidades utilizadas:
- Conta e identidade: nome, data de nascimento quando necessária, email, telefone, credenciais, fotografia, NIF quando legal ou comercialmente necessário e dados de verificação;
- Perfil profissional: experiência, funções, competências, disponibilidade, idiomas, qualificações, autorizações e declarações introduzidas; o carregamento de documentos sensíveis não está ativo nesta fase;
- Empresa: denominação, NIPC, contactos profissionais, unidades, representantes, dados de faturação e poderes de acesso;
- Turnos e candidaturas: publicações, candidaturas, seleções, confirmações, horários, presenças, check-in, check-out, avaliações e ocorrências;
- Comunicações: mensagens trocadas na Plataforma, pedidos de apoio, reclamações e respetivos anexos;
- Pagamentos: apenas quando um fluxo de pagamento for ativado: estado, referência, montante, moeda, identificador da transação e informação de faturação; dados completos de cartão permanecem no prestador autorizado;
- Dispositivo e segurança: endereço IP, data e hora, browser, sistema, identificadores técnicos, registos de acesso, consentimentos e eventos de segurança;
- Localização: coordenadas ou confirmação de proximidade quando o utilizador ativa uma funcionalidade operacional que delas depende.
Não solicitamos dados de saúde, biometria, convicções, filiação sindical ou outros dados de categoria especial para criar uma conta comum. Se um incidente, adaptação ou obrigação legal exigir essa informação, o tratamento é limitado ao estritamente necessário e depende de fundamento específico previsto no artigo 9.º do RGPD.
3. Finalidades e fundamentos jurídicos
| Finalidade | Dados principais | Fundamento |
|---|---|---|
| Criar e gerir a conta e prestar funcionalidades pedidas | Conta, perfil, empresa, turnos, candidaturas e mensagens | Execução do contrato e diligências pré-contratuais |
| Apresentar oportunidades e perfis compatíveis | Função, disponibilidade, zona, preferências e histórico relevante | Execução do serviço e interesse legítimo numa correspondência útil |
| Validar presença e apoiar a operação | Turno, horário, check-in/out e localização limitada | Execução do serviço; interesse legítimo; consentimento apenas quando seja a base adequada |
| Segurança, fraude, abuso e auditoria | Identidade, dispositivo, logs e ações de conta | Interesse legítimo e cumprimento de obrigações legais |
| Faturação, contabilidade e resposta a autoridades | Identificação, contrato, pagamentos e documentos | Obrigação legal e execução do contrato |
| Apoio, reclamações e defesa de direitos | Contactos, mensagens, ocorrências e provas | Execução do contrato, interesse legítimo e obrigação legal |
| Comunicações comerciais opcionais | Nome, contacto e preferências | Consentimento, quando exigido; relação comercial prévia nos limites legais |
Quando invocamos interesse legítimo, avaliamos necessidade, proporcionalidade e impacto nos direitos das pessoas. É possível opor-se nos casos previstos no RGPD. O consentimento pode ser retirado a qualquer momento, sem afetar a licitude do tratamento anterior.
4. Localização e controlo de presença
A localização precisa não é monitorizada de forma permanente. É solicitada pelo dispositivo quando o utilizador escolhe uma ação que exige confirmação de proximidade ou acompanhamento operacional e fica limitada ao período e finalidade apresentados no ecrã.
Ao ligar o radar, o dispositivo envia uma posição que é imediatamente reduzida a uma zona aproximada antes de ser publicada para matching e supervisão autorizada. O documento temporário do radar desaparece quando o utilizador o desliga ou aceita um turno. A localização exata só pode ser partilhada depois de existir um turno aceite e de o utilizador iniciar expressamente a navegação ou outra fase operacional que a exija.
Para segurança e responsabilização, conservamos separadamente um registo mínimo da alteração do radar — identificador da conta, estado ON/OFF e hora. Esse registo não contém coordenadas, percurso, morada, endereço IP ou identificação do dispositivo e é eliminado automaticamente após 30 dias, salvo preservação específica exigida por incidente, obrigação legal ou defesa de direitos.
Recusar a permissão impede apenas a funcionalidade que necessita da localização; sempre que exista alternativa razoável, pode ser usada validação manual. Uma empresa não pode usar dados da Plataforma para vigilância generalizada dos seus trabalhadores. A empresa deve assegurar a sua própria base jurídica, informação aos titulares e respeito pelas regras laborais.
5. Com quem os dados podem ser partilhados
Partilhamos apenas o necessário com:
- empresas e colaboradores envolvidos numa candidatura ou turno, segundo o perfil e fase do processo;
- fornecedores de alojamento, autenticação, base de dados, email, apoio, monitorização de segurança e infraestrutura, sujeitos a contrato e confidencialidade;
- prestadores de pagamentos autorizados, apenas se e quando for ativado um fluxo de pagamento, para processar e confirmar transações;
- consultores e auditores quando necessário à defesa de direitos ou conformidade;
- tribunais, autoridades policiais, fiscais, laborais, administrativas ou de proteção de dados quando exista obrigação ou pedido válido.
Não vendemos dados pessoais. Uma empresa não recebe acesso integral ao perfil de todos os colaboradores: o acesso é limitado ao contexto da candidatura, turno, comunicação ou autorização aplicável.
6. Transferências para fora do Espaço Económico Europeu
Privilegiamos tratamento no Espaço Económico Europeu. Se um fornecedor tratar dados noutro país, usamos uma decisão de adequação da Comissão Europeia ou garantias apropriadas, como cláusulas contratuais-tipo, acompanhadas das medidas suplementares necessárias. Pode ser pedida informação sobre a garantia aplicável através do contacto de privacidade.
7. Durante quanto tempo conservamos os dados
Os dados são conservados apenas enquanto necessários para as finalidades indicadas, cumprimento de prazos legais e defesa de direitos. Aplicam-se os seguintes critérios:
| Categoria | Critério de conservação |
|---|---|
| Conta e perfil | Durante a conta; após encerramento, pelo período necessário à eliminação técnica, prevenção de fraude e obrigações pendentes. |
| Candidaturas, turnos, presenças e mensagens | Durante a operação e pelos prazos de reclamação, prescrição ou prova aplicáveis à relação em causa. |
| Localização precisa | Apenas durante o contexto operacional autorizado; é removida no fecho, cancelamento ou expiração técnica da missão. |
| Alterações ON/OFF do radar | 30 dias, sem coordenadas ou percurso; prazo superior apenas quando exista preservação específica e documentada. |
| Faturação e documentos contabilísticos | Pelo prazo obrigatório na legislação fiscal e contabilística portuguesa. |
| Logs de segurança e consentimentos | Pelo período proporcional à deteção de incidentes, auditoria, prova de conformidade e defesa de direitos. |
| Pedidos de apoio, reclamações e incidentes | Até ao encerramento e durante o prazo necessário à prova, cumprimento legal ou defesa em processo. |
Quando um prazo termina, os dados são eliminados ou anonimizados de forma irreversível, salvo obrigação legal de conservação ou preservação necessária num litígio.
8. Direitos das pessoas
Nos termos do RGPD, cada titular pode pedir acesso, retificação, apagamento, limitação, portabilidade e oposição, bem como retirar consentimento e não ficar sujeito a decisão exclusivamente automatizada quando os requisitos legais se verifiquem.
O pedido deve indicar o direito e a conta ou contacto relevante. Podemos pedir informação proporcional para confirmar a identidade. Respondemos sem demora injustificada e, em regra, no prazo de um mês; um pedido complexo ou numeroso pode justificar a prorrogação legal, comunicada com os respetivos motivos.
Alguns dados não podem ser apagados de imediato quando são necessários para cumprir obrigação legal, proteger terceiros, exercer ou defender direitos ou concluir uma relação contratual.
É possível apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), sem prejuízo de recurso administrativo ou judicial.
9. Correspondência de perfis e decisões automatizadas
A Plataforma pode ordenar oportunidades ou perfis usando disponibilidade, função, distância, preferências, requisitos e histórico operacional. Estes resultados apoiam a descoberta e a gestão; a decisão de contratar ou selecionar pertence à empresa.
Não adotamos uma decisão baseada exclusivamente em tratamento automatizado que produza efeitos jurídicos ou afete significativamente uma pessoa, salvo se existir fundamento legal, informação específica, possibilidade de intervenção humana e direito de contestação.
10. Segurança, confidencialidade e incidentes
Aplicamos controlo de acessos por função, autenticação, registos de segurança, cópias de continuidade, atualização de componentes e medidas organizativas adequadas ao risco. Nenhum sistema é infalível; o utilizador deve proteger a palavra-passe e comunicar atividade suspeita.
Uma violação de dados pessoais é avaliada e tratada nos prazos legais. A CNPD e os titulares afetados são notificados quando o RGPD o exigir.
A Plataforma não se destina a menores de 18 anos. Se identificarmos uma conta criada em violação desta regra, são adotadas medidas para restringir o acesso e tratar os dados de forma adequada.
11. Contacto e alterações
Questões ou pedidos sobre dados pessoais podem ser dirigidos a suporte@turnocerto.eu. Alterações materiais a esta Política são comunicadas de forma destacada antes de produzirem efeitos.