1. Quem somos
A plataforma Kartalik (o «Serviço») é editada por NOVASTACK SARL, com o capital social de 100 000 MAD, inscrita no Registo Comercial de Marrakech sob o n.º 185521, com sede em APPT N 7 ETG 2 LOT AL MASAR N 643, Marrakech (o «Editor», «nós»). O Serviço permite a restaurantes e comerciantes oferecer cartões de fidelidade digitais no Apple Wallet e no Google Wallet.
NOVASTACK SARL declara à Comissão Nacional de Controlo da Proteção de Dados Pessoais de Marrocos (CNDP) os tratamentos realizados na plataforma — contas de comerciantes e do seu pessoal, subscrições e este site; programas de fidelidade e cartões de visita digitais operados com os comerciantes; e as transferências para o seu fornecedor de alojamento e para a Apple e a Google. Os números de recibo serão publicados aqui logo que sejam emitidos.
2. Quem é responsável pelos seus dados
Se é um cliente titular de um cartão de fidelidade: o estabelecimento que lhe propõe o cartão e o Editor são conjuntamente responsáveis pelos seus dados. O estabelecimento decide abrir o seu programa e só vê os seus próprios clientes; o Editor opera a plataforma, protege os seus dados e declara o tratamento à CNDP.
Se for um comerciante que utiliza o Serviço: o Editor é o responsável pelo tratamento dos dados da sua conta.
Se trabalhar para um comerciante e tiver uma conta de gestor de leitura: o Editor é o responsável pelo tratamento da sua conta e dos respetivos registos de início de sessão e de segurança. O estabelecimento que criou a sua conta decide quem recebe uma e vê a conta e as visitas que ela registou.
Se deixou os seus contactos num cartão de visita digital: a empresa cujo cartão leu e o Editor são conjuntamente responsáveis, com a mesma repartição — a empresa recebe os seus contactos, o Editor opera a plataforma e declara o tratamento.
3. Que dados recolhemos
Para os titulares de um cartão de fidelidade — apenas o que o formulário de adesão pede e o que a utilização do cartão produz:
- identidade e contactos: nome próprio, apelido, número de telefone e — apenas se optar por os fornecer — endereço de e-mail e data de nascimento;
- o seu cartão: a wallet que escolheu (Apple ou Google), o seu saldo de pontos e o facto de o cartão estar ou não instalado na sua wallet;
- as suas visitas: data e hora de cada leitura, pontos atribuídos, valor pago, uma nota facultativa introduzida pelo caixa e a localização do ponto de venda onde a leitura ocorreu;
- as provas de consentimento: a data em que aceitou esta política, a versão que aceitou, a sua opção de receber ou não mensagens de marketing e a data dessa resposta — incluindo a data da retirada, se a fizer.
- se aderiu através do cartão de outro cliente: o convite de que cliente utilizou e, se optou por dizer, o tipo de vínculo que tem com essa pessoa (família, amigo, colega, vizinho, outro) — o nome dela nunca lhe é mostrado, e o seu só é mostrado ao estabelecimento;
No formulário de adesão, apenas o nome próprio, o apelido e o número de telefone são obrigatórios — sem eles o cartão não pode ser criado nem voltar a ser encontrado na caixa. O endereço de e-mail e a data de nascimento são facultativos: deixe-os em branco e o cartão funciona exatamente da mesma forma, apenas não receberá o e-mail de boas-vindas nem a oferta de aniversário.
Para os comerciantes: os dados de conta fornecidos no registo (nome, e-mail, telefone, nome e morada do estabelecimento, pontos de venda), uma foto de perfil se a adicionar, os seus pedidos de subscrição (plano, número de telefone, mensagem), as suas subscrições e pagamentos, a data de aceitação das condições, os seus registos de início de sessão, a posição do dispositivo no momento de uma leitura (utilizada apenas para verificar que a leitura ocorre no ponto de venda, nunca conservada) e o conteúdo de qualquer cartão de visita digital que publique (nome, cargo, empresa, telefone, e-mail, ligações, foto).
Para os gestores de leitura: o endereço de e-mail e o número de telefone que o estabelecimento introduz ao criar a sua conta, o nome próprio, o apelido e a fotografia de perfil que o próprio adiciona, o estabelecimento ao qual está afeto e os seus registos de início de sessão. Cada leitura fica registada na conta que a efetuou, para que o estabelecimento possa ver qual das suas contas registou cada visita. O estabelecimento decide quem dispõe de uma conta e pode desativá-la; para exercer os seus direitos sobre a própria conta, escreva-nos (secção 8).
Não recolhemos mais nada: nenhum rastreador de navegação, nenhum perfil publicitário, nenhuns dados adquiridos a terceiros.
3.1 Os cartões de fidelidade são para maiores de idade
Tem de ter pelo menos 18 anos para se inscrever. O formulário de inscrição pede-lhe que o confirme e recusa uma data de nascimento que indique o contrário. Não recolhemos conscientemente os dados de um menor: se acredita que os dados de uma criança chegaram até nós, informe o estabelecimento ou escreva para contact@kartalik.com e iremos apagá-los.
3.2 O seu cartão e a sua localização
O seu cartão pode surgir no ecrã de bloqueio do telemóvel quando estiver perto de um dos pontos de venda do estabelecimento. Trata-se de uma funcionalidade da wallet e não de rastreio: as moradas dos pontos de venda estão inscritas no próprio cartão e é o Apple Wallet ou o Google Wallet que as compara com a sua posição, no seu próprio telemóvel. A sua localização nunca nos é enviada e nunca a conservamos. Pode desativar este comportamento nas definições da wallet do telemóvel sem que isso afete o cartão.
As coordenadas guardadas com uma visita são as do ponto de venda, registadas para que o estabelecimento consiga distinguir as suas filiais nas estatísticas. Indicam onde estava a caixa, não onde estava o titular do cartão.
3.3 Se deixou os seus contactos num cartão de visita digital
Um cartão de visita digital transmite-lhe os dados do seu titular; abri-lo não recolhe nada sobre si. A empresa é informada de que o seu cartão foi aberto — mais um numa contagem, com a data e se o cartão foi alcançado por código QR, por ligação ou a partir de um passe do wallet — e nada é registado sobre a pessoa que o abriu: nem nome, nem endereço, nem dispositivo, nem sequer de forma disfarçada. Se depois optar por entregar os seus, o formulário pede o seu nome, um número de telefone ou um endereço de e-mail — basta um dos dois — e a sua empresa, se a indicar, bem como o momento em que assinalou a caixa de consentimento e a versão desta política que lhe foi apresentada. Sem essa caixa assinalada, o formulário recusa o envio: nenhum contacto pode ser deixado por acidente.
Registamos igualmente por que caminho o cartão chegou até si: se o abriu através de uma ligação que alguém partilhou, a empresa vê que o seu cartão lhe chegou por intermédio dessa pessoa. O que vê é a cadeia de partilhas, não os seus movimentos — e quem não deixa qualquer contacto permanece um ponto anónimo dessa cadeia, sem nome, sem número de telefone e sem endereço de e-mail associados.
O que deixa vai para essa empresa e para o nosso fornecedor de alojamento, e para mais lado nenhum: nunca é inscrito num passe Apple Wallet ou Google Wallet, nunca é enviado à Apple ou à Google, e nunca é utilizado para lhe enviar seja o que for que essa empresa não nos tenha pedido para enviar.
4. Por que motivo os tratamos
- criar o seu cartão de fidelidade e entregá-lo no Apple Wallet ou no Google Wallet — com base no consentimento que dá no formulário de adesão;
- registar as suas visitas e manter correto o seu saldo de pontos — o essencial do programa de fidelização a que aderiu;
- enviar-lhe as novidades e as ofertas do estabelecimento no seu cartão — apenas se o tiver autorizado separadamente, podendo retirar essa autorização a qualquer momento;
- enviar-lhe um e-mail de boas-vindas quando fornece um endereço de e-mail;
- para registar, quando adere através do cartão de outro cliente, que chegou por esse cliente e o tipo de vínculo que optou por declarar — para que o estabelecimento veja como o seu cartão circula e agradeça ao cliente que o partilhou com os pontos que decidiu oferecer;
- entregar os seus contactos à empresa cujo cartão de visita digital leu, e mostrar-lhe como o seu cartão circulou — com base no consentimento que dá nesse formulário;
- gerir as contas de comerciante, as assinaturas e o apoio ao cliente — execução do contrato celebrado com o comerciante;
- manter o Serviço seguro (autenticação, prevenção da fraude nas leituras, registos de acesso).
5. Quem recebe os seus dados
Os seus dados são partilhados apenas com os destinatários necessários ao funcionamento do Serviço:
- Apple Inc. (Apple Wallet) ou Google LLC (Google Wallet), consoante a wallet escolhida: o seu nome, o identificador do seu cartão, o seu saldo de pontos e o conteúdo do cartão são-lhes transmitidos para mostrar e atualizar o cartão no seu telefone. Ambas estão estabelecidas nos Estados Unidos. Para um cartão de fidelidade, esta transferência só ocorre com o consentimento que dá na adesão; para um cartão de visita digital que adiciona à sua própria wallet, é necessária à execução do nosso contrato consigo (art. 44);
- Hostinger International Ltd., o nosso fornecedor de alojamento e de e-mail, cujos servidores se situam na União Europeia, num país reconhecido pela CNDP como assegurando um nível de proteção adequado — aloja o Serviço e entrega os e-mails transacionais acima descritos;
- se for comerciante: o nosso contabilista externo e a administração fiscal recebem os seus dados de faturação (nome, morada, pagamentos) quando a legislação contabilística e fiscal o exige;
- se for comerciante: ao posicionar o seu estabelecimento no mapa do painel, o seu navegador carrega o mapa e a pesquisa de moradas diretamente do OpenStreetMap (OpenStreetMap Foundation, Reino Unido) — este vê o endereço do seu navegador como qualquer site que visita, e nenhum dado dos seus clientes;
- o estabelecimento que emitiu o seu cartão, que consulta os dados dos seus próprios clientes no respetivo painel.
Nunca vendemos os seus dados e mais ninguém os recebe — salvo quando a lei impõe a sua comunicação a uma autoridade competente.
6. Mensagens de marketing
As mensagens de marketing — no seu cartão ou por e-mail — são enviadas apenas aos clientes que deram o seu acordo expresso no formulário de adesão (lei 09-08, art. 10). As mensagens relativas ao próprio cartão — a atualização dos pontos após uma visita — fazem parte do Serviço e não são marketing. Pode retirar o seu consentimento de marketing a qualquer momento junto do estabelecimento ou escrevendo para contact@kartalik.com, e a remoção do cartão da sua wallet interrompe imediatamente as mensagens no cartão.
7. Durante quanto tempo os conservamos
- o seu cartão e os seus dados de identidade: enquanto utilizar o cartão e, em qualquer caso, no máximo 36 meses após a sua última visita — findo esse prazo, o seu nome, apelido, número de telefone, endereço de e-mail e data de nascimento são apagados automaticamente. O apagamento ocorre também mais cedo, assim que o solicitar;
- o seu histórico de visitas, incluindo os locais das leituras: enquanto utilizar o seu cartão — nunca é eliminado por causa da sua antiguidade; apagada a sua identidade, os registos permanecem sem nada que o nomeie;
- os registos técnicos da wallet (callbacks de entrega, registos push de cartões removidos): 90 dias e 6 meses, respetivamente;
- o registo das mensagens de campanha entregues no seu cartão: 90 dias após a campanha, e apagado de imediato quando o seu cartão é apagado;
- um contacto deixado num cartão de visita digital, e o ponto que ocupa na cadeia de partilhas: conservados até que a empresa os apague ou elimine o cartão. Não há expiração automática — uma troca de cartões de visita destina-se a durar —, pelo que o apagamento acontece quando é pedido;
- os dados da conta de comerciante: durante toda a vida da conta e, em seguida, pelos prazos exigidos pelo direito comercial marroquino;
- as contas de gestor de leitura: enquanto o estabelecimento mantiver a conta e até que a elimine;
- os registos técnicos: 30 dias.
O termo de uma assinatura não elimina nada: limita-se a colocar o cartão de fidelidade fora de linha, para que possa ser reposto exatamente como estava. A eliminação ocorre quando é pedida — por si ou pelo estabelecimento que encerra a sua conta — e, no caso de um cartão deixado sem uso, automaticamente ao fim de 36 meses.
8. Os seus direitos
A lei 09-08 confere-lhe o direito de aceder aos seus dados, de os retificar, de se opor ao seu tratamento — incluindo para fins de marketing — e de os apagar.
Se for titular de um cartão de fidelidade, dirija-se ao estabelecimento que o emitiu — o respetivo painel apaga os seus dados pessoais de imediato — ou escreva para contact@kartalik.com: respondemos-lhe diretamente, damos acesso sem demora e procedemos às retificações no prazo de dez dias francos, como exige a Lei 09-08.
Se for comerciante ou titular de uma conta de gestor de leitura, escreva para contact@kartalik.com a respeito dos dados da sua própria conta: nesse caso somos nós o responsável pelo tratamento e respondemos-lhe diretamente. Damos acesso sem demora e procedemos às retificações no prazo de dez dias francos, como exige a Lei 09-08.
O apagamento elimina o seu nome próprio, apelido, número de telefone, endereço de e-mail e data de nascimento, encerra o cartão e cancela os registos de notificação do seu telemóvel. Os próprios registos de visita permanecem para as estatísticas do estabelecimento, expurgados de tudo o que o identifique. A supressão dos identificadores não equivale ao anonimato: enquanto conservar o passe no telemóvel, uma ligação a esses registos continua teoricamente possível, e é assim que os tratamos.
Se deixou os seus contactos num cartão de visita digital, dirija-se à empresa a quem o cartão pertencia, ou escreva para contact@kartalik.com. O apagamento suprime o seu nome, número de telefone, endereço de e-mail e empresa; o ponto que ocupa na cadeia de partilhas permanece, despojado de tudo o que o identifica, para que a cadeia de mais ninguém se quebre.
Se considerar que os seus direitos não são respeitados, pode apresentar queixa junto da CNDP (www.cndp.ma).
9. Como os protegemos
Todo o tráfego é cifrado (HTTPS/TLS). O acesso aos seus dados exige autenticação e está limitado por perfil; cada estabelecimento vê apenas os seus próprios clientes. As palavras-passe são armazenadas sob a forma de hash, os segredos sensíveis dos cartões são cifrados em repouso e as leituras estão protegidas contra falsificação por códigos assinados de utilização única.
10. Utilização de cookies
O Serviço utiliza apenas os cookies estritamente necessários ao seu funcionamento: a sua sessão de autenticação, o seu idioma e a sua preferência de tema claro/escuro. Não existem cookies de análise nem de publicidade, pelo que não é necessário qualquer banner de cookies.
11. Alterações a esta política
Podemos atualizar esta política à medida que o Serviço evolui; a data indicada acima reflete sempre a versão mais recente. Qualquer alteração substancial é anunciada no Serviço antes de produzir efeitos.
12. Contacto
Para qualquer questão relativa a esta política ou aos seus dados: contact@kartalik.com — APPT N 7 ETG 2 LOT AL MASAR N 643, Marrakech.
Condições Gerais de Utilização e de Venda · Acordo de tratamento de dados · Informação legal