1. Quem é o responsável
Para as listas de convidados, os convites e as entradas, o organizador do evento determina as finalidades e os meios do tratamento: é o responsável pelo tratamento, e o InviteKey atua por sua conta como subcontratante, nas condições da secção 6 dos termos de utilização.
Para as contas de utilizador, a faturação, a segurança e este site, o InviteKey é o responsável pelo tratamento. Aconselhamos os convidados a consultar também a política de privacidade do organizador.
2. Dados tratados e finalidades
Contas e assistência: nome, endereço de email profissional, organização e função, dados de autenticação e trocas com a assistência. Servem para fornecer as contas, responder aos pedidos, administrar e proteger o serviço. Fundamento jurídico: a execução do contrato, o nosso interesse legítimo em explorar um serviço seguro ou uma obrigação legal, consoante o caso.
Eventos e convidados: informações e imagens do evento, nome, endereço de email e categoria dos convidados, qualquer outro campo introduzido pelo organizador, estado do convite e da sua entrega, identificadores de passe, e hora, ponto de controlo e dispositivo das entradas. Estes dados são tratados mediante instruções do organizador para criar, enviar e verificar os acessos; cabe ao organizador determinar o seu próprio fundamento jurídico e explicá-lo aos seus convidados.
Acompanhamento dos emails: para cada email de convite, o nosso prestador de envio regista a sua entrega e, quando a caixa de correio do convidado o permite, a sua abertura e os cliques nas suas ligações. Estas informações indicam ao organizador se o convite chegou e permitem tratar os endereços com erro.
Utilização técnica: endereço IP, registos de acesso e de segurança, informações de sessão indispensáveis e, para os dispositivos de verificação de convites (os telemóveis e tablets que leem os códigos QR à entrada de um evento) e os passes Apple Wallet, os identificadores técnicos do dispositivo, para fazer funcionar e proteger a aplicação e a API. Fundamento jurídico: o nosso interesse legítimo na segurança e na fiabilidade do serviço.
Controlo anti-robô: antes de um início de sessão, de um registo, da aceitação de um convite para integrar uma equipa ou do reenvio de um código, o Cloudflare Turnstile verifica que o pedido é feito por uma pessoa e não por um programa automático. Para isso, analisa informações técnicas sobre o navegador e o dispositivo, incluindo o endereço IP, quase sempre sem pedir nada, por vezes pedindo para assinalar uma caixa. Fundamento jurídico: o nosso interesse legítimo em proteger o serviço e os seus utilizadores contra abusos.
Cloudflare — Medição de audiência do site: apenas no site institucional, páginas consultadas, site de proveniência, país, tipo de dispositivo e de navegador, sem cookies nem armazenamento no seu navegador e sem seguimento entre sites, para saber como o site é consultado. A aplicação, incluindo nos dispositivos de verificação, e as páginas de convite não são medidas. Fundamento jurídico: o nosso interesse legítimo em conhecer a frequência do site.
Google Analytics: com o seu consentimento, o Google Analytics mede, apenas no site institucional, as páginas consultadas e os cliques para uma oferta paga ou um orçamento. A Google pode definir cookies e receber dados técnicos sobre a sua visita, nomeadamente o endereço IP e as características do navegador. Esta medição não abrange a aplicação, as páginas de convite, o controlo de acessos nem os pagamentos. Pode recusar ou retirar o seu consentimento a qualquer momento através de «Opções de estatísticas» no rodapé. Fundamento jurídico: o seu consentimento.
Faturação: encomendas, ofertas e transações, em caso de compra de uma oferta paga, para gerir a compra e cumprir as nossas obrigações contabilísticas e fiscais. Os pagamentos com cartão são cobrados pela Paypercut (secção 3).
Nenhuma decisão que produza efeitos jurídicos que lhe digam respeito ou que o afete significativamente é tomada exclusivamente com base num tratamento automatizado.
3. Destinatários e prestadores
Não vendemos dados pessoais nem comunicamos listas de convidados a anunciantes ou a parceiros sem relação com o serviço. O acesso está reservado aos utilizadores autorizados do organizador, às pessoas que dele necessitam para o serviço e aos seguintes prestadores:
A Brevo envia os emails de convite e de conta; recebe o endereço de email e o conteúdo da mensagem, e mede a sua entrega, abertura e cliques; conserva o histórico de envios durante um mês, sem guardar o conteúdo das mensagens. A Backblaze B2 armazena num espaço privado as imagens dos eventos e, durante uma importação, o ficheiro da lista de convidados importada, eliminado no máximo três dias após o seu carregamento. A Railway aloja a API, os processamentos e a base de dados; os seus registos técnicos conservam durante trinta dias os pedidos recebidos, incluindo o endereço IP do dispositivo. A Cloudflare disponibiliza o site e a aplicação, mede a audiência do site institucional e verifica, antes de um início de sessão ou de um registo, que o pedido não provém de um programa automático. A Paypercut cobra os pagamentos com cartão das ofertas compradas online; recebe o endereço de email do comprador, para pré-preencher a sua página de pagamento, e os dados do cartão, introduzidos diretamente nessa página e nunca transmitidos ao InviteKey. Google: quando um convidado escolhe «Adicionar ao Google Wallet», as informações do seu passe — nome, evento, categoria, código QR — são transmitidas à Google, que as trata segundo as suas próprias regras. Apple: quando um convidado escolhe «Adicionar à Apple Wallet», o passe é descarregado diretamente para o seu dispositivo, sem que o InviteKey transmita o seu conteúdo à Apple; os serviços da Apple, como o iCloud, podem depois sincronizá-lo entre os seus dispositivos, segundo as regras da Apple.
Para um passe adicionado a um Wallet, consulte a política de privacidade da Apple ou a política de privacidade da Google. Descrevem os tratamentos dessas empresas; esta página continua a ser a dos tratamentos do InviteKey.
O organizador pode dar acesso à sua equipa e aos seus dispositivos de verificação. Podemos também comunicar informações quando a lei o exija ou para proteger direitos ou a segurança de pessoas, na estrita medida do necessário.
4. Transferências para fora da União Europeia
Os nossos dados estão alojados na União Europeia. No entanto, alguns prestadores, ou as suas infraestruturas, podem tratar dados fora do Espaço Económico Europeu. Essas transferências são então enquadradas por um mecanismo reconhecido, como uma decisão de adequação ou as cláusulas contratuais-tipo da Comissão Europeia. Contacte-nos para conhecer as garantias aplicáveis aos seus dados. A Apple e a Google podem também tratar os dados Wallet segundo as suas próprias regras.
5. Prazos de conservação
O prazo de conservação dos dados de um evento depende da oferta escolhida; é apresentado no serviço e conta a partir do dia de início do evento, que não pode ser adiado para além do período coberto pela oferta. No seu termo, o acesso termina e os dados são eliminados dos nossos sistemas ativos segundo o nosso procedimento de eliminação automatizado. Enquanto nenhum convite tiver sido enviado para um evento, os seus dados são conservados até ao termo da oferta utilizada — com a oferta gratuita, doze meses após a criação do evento — e depois eliminados da mesma forma. Podem subsistir temporariamente cópias limitadas após o termo do prazo: no máximo quatro semanas nas cópias de segurança da base de dados, trinta dias nos registos técnicos do nosso prestador de alojamento e um mês no histórico de envios do nosso prestador de email. Se uma cópia de segurança for restaurada, esses dados permanecem inacessíveis e são novamente eliminados. Não prometemos a eliminação instantânea de cada cópia no termo do prazo.
Três tipos de cópias escapam ao nosso controlo e podem subsistir após o fim do acesso.
As exportações descarregadas pelo organizador são conservadas sob a sua exclusiva responsabilidade; cabe-lhe eliminá-las.
A lista de convidados guardada offline nos dispositivos de verificação (nomes, categorias e, se o organizador o ativar, endereços de email) é apagada do dispositivo quando este termina a sessão ou, na falta disso, assim que a aplicação é reaberta nele após o fim do seu acesso. Um dispositivo que nunca é reaberto conserva-a até que os dados do seu navegador sejam apagados: o organizador deve, por isso, terminar a sessão dos seus dispositivos no final do evento.
Os passes guardados na aplicação Wallet de um convidado permanecem no seu dispositivo: o convidado pode eliminá-los a qualquer momento, e a Apple e a Google decidem a sua própria conservação dos dados Wallet. Com a eliminação dos dados do evento, a InviteKey substitui o passe por uma versão que já não contém o nome do convidado nem o seu código QR; um dispositivo que permaneça desligado ou offline mais de 30 dias pode conservar a versão anterior.
Os dados de conta e de assistência são conservados enquanto a conta existir e os pedidos o exigirem, e depois durante um prazo limitado quando a segurança, um litígio ou uma obrigação legal o exigir. Os dados de faturação são conservados durante os prazos contabilísticos e fiscais aplicáveis. Pode perguntar-nos o prazo aplicável a um dado específico.
O registo de segurança e auditoria é conservado durante um ano, e pelo menos seis meses após a eliminação dos dados do evento a que se refere; os registos dos envios, dos pagamentos e das decisões sobre as ofertas são conservados durante cinco anos.
6. Os seus direitos
Consoante a sua situação e o tratamento em causa, pode pedir o acesso aos seus dados, a sua retificação, o seu apagamento, a limitação do seu tratamento ou a sua portabilidade, opor-se ao tratamento e retirar o seu consentimento quando este for o fundamento. Estes direitos podem ser limitados por lei. Escreva para support@invitekey.app; poderemos ter de verificar a sua identidade antes de agir.
Se for convidado para um evento, o organizador é, em princípio, o primeiro interlocutor para qualquer pedido sobre o seu convite ou a sua presença. Pode também escrever-nos: transmitiremos ou trataremos o pedido consoante o caso. Pode apresentar uma reclamação à autoridade francesa de proteção de dados (Commission nationale de l’informatique et des libertés, CNIL), www.cnil.fr, ou à autoridade de proteção de dados do seu país.
7. Segurança e armazenamento no seu dispositivo
Aplicamos controlos de acesso e outras medidas técnicas e organizativas destinadas a proteger os dados. Nenhum serviço em linha pode garantir uma segurança absoluta. Comunique qualquer abuso suspeito para support@invitekey.app.
O site guarda no seu navegador o seu idioma, a sua preferência de tema claro ou escuro e a sua escolha sobre as estatísticas. A aplicação guarda nele o seu idioma, o seu tema, o método de início de sessão que escolheu, os avisos que ocultou e, durante vinte e quatro horas, a compra a retomar depois de iniciar sessão; durante um início de sessão ou um registo, o separador guarda também o pedido em curso — endereço introduzido e referência —, apagado quando o separador é fechado. Utiliza um cookie de sessão indispensável para manter os utilizadores ligados e proteger o acesso, e os dispositivos de verificação guardam os dados do evento necessários à verificação offline. Os tipos de letra e as imagens da interface são servidos pelo próprio InviteKey; apenas o controlo anti-robô da Cloudflare, nas páginas de início de sessão e de registo — incluindo a que permite integrar uma equipa —, e o Google Analytics, no site institucional e com o seu consentimento, carregam um script de terceiros.
8. Alterações e perguntas
Podemos alterar esta política quando o serviço ou a regulamentação evoluírem. A versão em vigor e a sua data figuram no topo desta página. Para qualquer pergunta ou pedido: support@invitekey.app.
O responsável pelo tratamento é Adrian Tanasescu EI, empresário em nome individual registado em França (SIREN 529 157 810), 9 rue des Grisemottes, 69220 Belleville-en-Beaujolais, France, editor do InviteKey.