Política de privacidade

Esta é a nossa Política de privacidade. Os Termos de utilização (EULA) da Mimos estão numa página separada. Ver os Termos de utilização →

1. Sobre esta política e a quem se destina

A Mimos é uma plataforma multi-inquilino de software como serviço (SaaS) que os negócios de grooming usam para gerir clientes, animais, marcações, mensagens e uma montra de reservas online. A plataforma é operada pela Mimos Technology Inc. ("Mimos", "nós"), 108 W 39th St, STE1006 PMB2057 New York City, 10018 NY, USA.

Esta política explica quais os dados pessoais que tratamos, porquê, com que fundamento legal, com quem os partilhamos, durante quanto tempo os conservamos e que direitos tens. Aplica-se a:

• Negócios de grooming que subscrevem a Mimos (os nossos clientes diretos) e os utilizadores da equipa desses negócios que têm uma conta.
• Donos de animais ("clientes") cujos dados um negócio de grooming guarda na Mimos ou que reservam através da montra online de um negócio.
• Visitantes da nossa aplicação e das nossas páginas de reserva.

2. O nosso papel: responsável pelo tratamento e subcontratante

A Mimos desempenha dois papéis distintos em matéria de proteção de dados. É importante perceber qual se aplica a ti.

Somos o responsável pelo tratamento dos dados pessoais cujas finalidades e meios de tratamento decidimos — principalmente:

• Dados de conta e de utilizadores da equipa (registo, autenticação, administração de faturação, apoio, segurança).
• Dados técnicos e de utilização que recolhemos para operar, proteger e melhorar a plataforma.
• Comunicações entre nós e os nossos clientes empresariais.

Somos subcontratante (e o negócio de grooming é o responsável pelo tratamento) dos dados pessoais que um negócio introduz ou gera sobre os seus próprios clientes e os animais destes — por exemplo, dados de contacto dos clientes, fichas dos animais, histórico de marcações, fotografias, registos de vacinação e registos de mensagens. Tratamos esses dados apenas mediante as instruções documentadas do negócio, com a finalidade de prestar o serviço. Cada negócio é responsável por ter um fundamento legal para recolher estes dados e por responder aos pedidos de privacidade dos seus próprios clientes; o nosso tratamento rege-se por um Acordo de Tratamento de Dados (DPA) que faz parte dos nossos termos.

Se és dono de um animal e queres aceder, corrigir ou apagar a informação que um salão de grooming tem sobre ti, contacta diretamente esse salão — é ele que controla a tua ficha. Vamos ajudá-lo na qualidade de subcontratante.

3. Dados pessoais que tratamos

Os dados efetivamente presentes dependem de como um negócio configura a Mimos e do que escolhe registar. As categorias abaixo refletem aquilo que a plataforma é capaz de armazenar.

3.1 Contas de negócios e de utilizadores da equipa (Mimos como responsável pelo tratamento)

• Identidade e contacto: nome próprio e apelido, endereço de email, número de telefone.
• Autenticação e segurança: palavra-passe codificada (hash), tokens de confirmação de email e de reposição de palavra-passe, token de "manter sessão iniciada", contadores de tentativas falhadas de início de sessão e estado de bloqueio, e metadados de início de sessão (datas/horas e endereços IP do início de sessão atual/último).
• Perfil: fotografia de avatar opcional e — para membros da equipa que sejam groomers reserváveis — biografia, especialidades, cor de calendário, data de contratação e percentagem de comissão.
• Dados de trabalho: horário de trabalho, ausências (incluindo qualquer motivo registado), atribuições de localização e a configuração/definições do negócio.
• Função e pertença: a que negócio(s) o utilizador pertence e a sua função (administrador ou membro).

3.2 Dados de clientes e animais (Mimos como subcontratante, por conta do negócio)

• Dados do dono do animal ("cliente"): nome, endereço(s) de email, número(s) de telefone, morada(s) postal/de faturação, notas de texto livre, origem de aquisição, relações de agregado familiar e etiquetas/rótulos.
• Preferências de mensagens e consentimento: se o cliente consentiu em receber lembretes automáticos/mensagens de marketing, quando o consentimento foi dado ou retirado, e o canal preferido (SMS, email ou nenhum).
• Fichas dos animais: nome, espécie, raça, data de nascimento, sexo, tamanho, peso, pelo/temperamento, alergias e notas médicas, e fotografias dos animais (fotografia de perfil e fotografias de grooming antes/depois).
• Registos de vacinação: nome/tipo de vacina, datas de administração e de validade, verificação e qualquer motivo/notas de exceção, e um documento de comprovativo carregado (fotografia ou PDF de um certificado).
• Marcações e histórico de serviços: reservas, horas, estado, registos de preço, notas/instruções especiais da marcação e qual o membro da equipa que prestou o serviço.
• Consentimentos e assinaturas: documentos de termo de responsabilidade/consentimento recolhidos no check-in, incluindo indicadores de consentimento para fotografia, o nome de quem assina e um conteúdo de assinatura digital, além da versão/localidade do documento e da data/hora.
• Avaliações e testemunhos: classificações e comentários de texto livre submetidos pelos clientes (alguns através de ligações com token), e qualquer nome/fotografia de autor de testemunho que um negócio escolha publicar.
• Comunicações: um registo das mensagens enviadas para os clientes ou recebidas deles, incluindo o telefone/email do destinatário, o canal (SMS, WhatsApp, email), o corpo da mensagem, a direção, o estado de entrega e qualquer erro.

Nota sobre dados sensíveis. As alergias e notas médicas sobre animais são informação de saúde animal, não dados pessoais de categoria especial relativos a uma pessoa. No entanto, os campos de texto livre (notas de cliente, notas de marcação, comentários de avaliações) podem conter aquilo que um utilizador escrever. Os negócios devem evitar registar categorias especiais de dados pessoais sobre pessoas nestes campos.

3.3 Dados recolhidos automaticamente

• Cookies de sessão e de autenticação (ver §6).
• Registos de servidor e de segurança, incluindo endereço IP, metadados do pedido e user-agent, usados para operar, proteger e depurar o serviço. Palavras-passe, tokens, códigos OTP e segredos semelhantes são filtrados dos nossos registos.
• Telemetria de desempenho e de rastreio através do nosso fornecedor de monitorização de desempenho de aplicações (ver §7), constituída por metadados de pedido e de rastreio.
• Eventos de análise de produto (por exemplo, eventos de funil/utilização com um identificador de sessão e o utilizador autenticado, quando aplicável).
• Tokens de notificações push móveis para membros da equipa que usem a aplicação companheira para iOS ou Android (token de dispositivo, plataforma, ambiente, hora da última atividade). As notificações são entregues através do Apple Push Notification service (APNs) no iOS e do Firebase Cloud Messaging (FCM) no Android; os dados do token recolhidos são os mesmos em ambas as plataformas.
• Dados de subscrição e compra do Mimos Pro (o nosso plano pago). Quando subscreve através da App Store ou do Google Play, tratamos o identificador de transação da loja, o identificador do produto (por exemplo, o plano mensal ou anual), um identificador pseudónimo por conta que a aplicação envia à loja (appAccountToken da Apple / obfuscatedAccountId da Google, derivado do ID da sua conta) e o estado da subscrição ou do direito de acesso resultante. Se subscrever na web através do Stripe, tratamos os seus identificadores de cliente e de subscrição do Stripe, o identificador do produto e o estado da subscrição. Tratamos estes dados apenas para conceder e gerir o acesso ao Mimos Pro.

Não armazenamos números de cartões de pagamento nem dados de conta bancária; a Mimos não é um processador de pagamentos.

4. Porque tratamos dados e os nossos fundamentos legais

Sempre que se apliquem o GDPR (EU/EEA), a LGPD do Brasil ou outras leis de proteção de dados aplicáveis, baseamo-nos nos seguintes fundamentos:

Para o nosso próprio marketing dirigido a negócios, ou quando o consentimento seja de outro modo exigido, baseamo-nos no consentimento, que podes retirar a qualquer momento.

5. Mensagens a clientes e consentimento

A Mimos pode enviar mensagens por SMS e email aos clientes de um negócio (por exemplo, lembretes e confirmações de marcações), com mensagens por WhatsApp disponíveis onde estiver ativado. A plataforma regista e impõe o consentimento de mensagens: o estado e a data/hora do consentimento de um cliente são armazenados, e as mensagens automáticas a clientes ficam condicionadas a esse consentimento. Os clientes podem retirar o consentimento a qualquer momento, contactando o negócio ou seguindo as instruções de exclusão sempre que fornecidas. Os registos de mensagens são conservados como parte dos registos do negócio (ver §9).

6. Cookies e tecnologias semelhantes

A Mimos usa um pequeno número de cookies estritamente necessários para funcionar; não usa cookies de publicidade. Estes incluem:

• Um cookie de sessão (por exemplo, _pet_crm_session) para te manter com sessão iniciada e proteger contra falsificação de pedidos entre sites. É HttpOnly, SameSite=Lax e (em produção) Secure (apenas HTTPS).
• Um cookie de "manter sessão iniciada" definido apenas se escolheres essa opção ao iniciar sessão, para que continues com sessão iniciada entre sessões do navegador; é eliminado ao terminar sessão.

Como estes cookies são essenciais para prestar um serviço que pedes, não exigem consentimento ao abrigo das regras ePrivacy. Se mais tarde adicionarmos cookies não essenciais ou análises de terceiros que definam cookies, apresentaremos um banner de consentimento e atualizaremos esta secção.

7. Fornecedores de serviços e subcontratantes

Partilhamos dados pessoais com os terceiros abaixo estritamente para prestar o serviço. Cada um está vinculado por termos de proteção de dados. Esta lista pode mudar; vamos mantê-la atualizada.

Previsto (ainda não ativo): o rastreio de erros através do Sentry está integrado no nosso código, mas não está ativado em produção, pelo que hoje não trata dados pessoais. Se o ativarmos, atualizaremos esta secção; os relatórios de erro poderão então incluir o endereço IP, os cabeçalhos do pedido e os identificadores do utilizador afetado.

Não vendemos dados pessoais e não os partilhamos para publicidade de terceiros.

8. Transferências internacionais de dados

Os nossos fornecedores podem tratar dados fora do país onde te encontras, incluindo nos Estados Unidos. Quando os dados são transferidos para fora do EEA/UK, baseamo-nos em salvaguardas adequadas, como as Standard Contractual Clauses da Comissão Europeia (e o UK Addendum quando relevante), ou na certificação de adequação/Data Privacy Framework de um fornecedor. Os detalhes das salvaguardas para uma transferência específica estão disponíveis mediante pedido em ola@joinmimos.com.

9. Conservação de dados

• Os dados de conta e de utilizadores da equipa são conservados enquanto a subscrição do negócio estiver ativa e por um período razoável depois disso, sendo depois eliminados ou anonimizados, sujeitos a obrigações legais de conservação (por exemplo, fiscais/contabilísticas).
• As fichas de clientes, animais, marcações, fotografias e vacinação são conservadas para o negócio (o responsável pelo tratamento) enquanto este as mantiver. Alguns registos usam eliminação suave (marcados como eliminados e ocultos, mas conservados) para que o histórico e os registos de marcações se mantenham consistentes; não são automaticamente apagados.
• Histórico de alterações / registo de auditoria. Por integridade e responsabilização, as alterações a registos importantes são versionadas num registo de auditoria e conservadas durante a vida da conta, salvo se apagadas.
• Os registos de mensagens são conservados como parte dos registos de comunicação do negócio.
• Encerramento / eliminação de conta. Quando uma conta de negócio é eliminada, os dados associados (pertenças, clientes, animais, marcações, serviços, convites, etc.) são removidos. Mediante pedido, eliminaremos ou devolveremos os dados de um negócio em conformidade com o nosso DPA e a lei aplicável.
• As cópias de segurança são conservadas durante uma janela rotativa limitada e depois substituídas; os pedidos de eliminação são honrados nos sistemas ativos de imediato e propagam-se à medida que as cópias de segurança são rotacionadas.

Se quiseres que documentemos um calendário de conservação específico, contacta-nos em ola@joinmimos.com.

10. Como protegemos os dados

• Encriptação em trânsito: HTTPS/TLS é imposto em toda a aplicação (HSTS/force_ssl em produção); os cookies são Secure e HttpOnly.
• Proteção de palavras-passe: as palavras-passe são codificadas com bcrypt (fator de trabalho 12) e nunca armazenadas ou registadas em texto simples.
• Acesso à API: o acesso programático usa bearer tokens armazenados apenas como um resumo HMAC-SHA256 com sal (o token em bruto nunca é persistido); os tokens podem ser revogados e expirados.
• Prevenção de abuso: limitação de taxa nos endpoints de início de sessão, registo, reposição de palavra-passe e OTP, e bloqueio de conta após repetidas tentativas falhadas de início de sessão.
• Higiene de registos: palavras-passe, tokens, OTPs e outros segredos são filtrados dos registos da aplicação.
• Isolamento de inquilinos: os dados de cada negócio estão logicamente segregados por conta.
• Controlo de acesso: permissões baseadas em funções (administrador/membro) e verificações de política controlam o acesso dentro de uma conta.
• Segurança da sessão móvel: a aplicação móvel armazena o seu token de sessão no armazenamento seguro do dispositivo (Keychain do iOS / Keystore do Android), protegido opcionalmente pela biometria do dispositivo quando a ativar; os dados biométricos nunca saem do seu dispositivo e são geridos inteiramente pelo sistema operativo.

Nenhum sistema é perfeitamente seguro, mas tomamos medidas técnicas e organizativas razoáveis e adequadas para proteger os dados pessoais e notificaremos as partes afetadas e os reguladores de uma violação de dados pessoais sempre que a lei o exija.

11. Os teus direitos

Sujeito à lei aplicável (como o GDPR e a LGPD), podes ter o direito de:

• Aceder aos dados pessoais que temos sobre ti e receber uma cópia.
• Retificar dados inexatos ou incompletos.
• Apagar os teus dados ("direito a ser esquecido") em determinadas circunstâncias.
• Limitar ou opor-te a determinado tratamento, incluindo o tratamento baseado em interesses legítimos e o marketing direto.
• Portabilidade dos dados — receber os teus dados num formato estruturado e legível por máquina.
• Retirar o consentimento a qualquer momento quando o tratamento se baseie no consentimento.
• Apresentar uma reclamação à tua autoridade local de proteção de dados ou de controlo.

Como exercer os teus direitos:

• Se a Mimos for o responsável pelo tratamento (os dados da tua conta/de utilizador da equipa), contacta-nos em ola@joinmimos.com. Responderemos dentro do prazo exigido pela lei (um mês ao abrigo do GDPR, prorrogável). Podemos precisar de verificar a tua identidade.
• Se os teus dados foram introduzidos por um negócio de grooming (ou seja, és cliente desse negócio), contacta esse negócio — é ele o responsável pelo tratamento. Apoiá-lo-emos no cumprimento do teu pedido.

12. Crianças

A Mimos destina-se a negócios e adultos. Não é dirigida a crianças e não recolhemos conscientemente dados pessoais de crianças. Se acreditas que uma criança forneceu dados pessoais, contacta-nos e iremos eliminá-los.

13. Decisões automatizadas

Não usamos os dados pessoais aqui descritos para tomar decisões que produzam efeitos jurídicos ou de modo semelhante significativos sobre ti exclusivamente por meios automatizados.

14. Alterações a esta política

Podemos atualizar esta política para refletir alterações no produto, nos nossos fornecedores ou na lei. Publicaremos a versão atualizada com uma nova data de "Última atualização" e, para alterações materiais, daremos um aviso adicional (por exemplo, na aplicação ou por email). A utilização continuada após a data de entrada em vigor constitui aceitação, quando permitido por lei.

15. Contacta-nos

Questões, pedidos ou reclamações sobre privacidade: