A AboutRides é a marca comercial da entidade que opera esta plataforma SaaS de gestão de operações de transferes.
Para efeitos do Regulamento (UE) 2016/679 («RGPD»), a AboutRides é (a) Responsável pelo Tratamento dos dados dos utilizadores do CRM, da aplicação móvel e dos visitantes do site institucional, e (b) Sub-contratante (Art. 28 RGPD) relativamente aos dados de terceiros (clientes finais, passageiros, motoristas) que o Operador (tenant) introduza na Plataforma — o Operador é o Responsável pelo Tratamento desses dados.
Contacto para questões de privacidade e exercício de direitos: [email protected].
Sede e dados de contacto completos disponíveis a pedido pelo email acima.
RGPD: Regulamento (UE) 2016/679, de 27 de Abril de 2016.
Plataforma: o conjunto formado pelo CRM web (aboutrides.com), pela API REST, pela aplicação móvel «AboutRides Driver» e pelos serviços técnicos associados.
Operador (tenant): a pessoa colectiva que contrata o uso da Plataforma para gerir a sua operação de transferes.
Utilizador final: pessoa singular cujos dados sejam tratados no contexto da operação do Operador (clientes, passageiros, motoristas, etc.).
Sub-processador: terceiro contratado pela AboutRides para prestar serviços técnicos necessários à Plataforma, ao abrigo do Art. 28(2) RGPD.
Dados de conta e perfil: nome, email, telemóvel, password (armazenada com hash Argon2id), idioma, tema, role e indicador de administrador principal.
Dados operacionais introduzidos pelo Operador: clientes, motoristas, veículos, reservas, viagens, trajectos, faturas, payouts, notas, mensagens e anexos.
Dados de pagamento: o número de cartão é tratado exclusivamente pela Stripe (certificada PCI-DSS Level 1). Recebemos apenas tokens e metadados (montante, status, referência); nunca o número do cartão, nunca o CVV.
Dados técnicos: endereço IP, user agent, identificadores de dispositivo, fingerprint do refresh token, timestamps de acesso, audit logs de operações sensíveis.
Dados de comunicação: emails transacionais (recuperação de password, convites, recibos, contratos), notificações push e mensagens entre Operador e motorista.
Dados de localização (aplicação móvel do motorista): coordenadas GPS — ver secção «Aplicação móvel do motorista» adiante.
Execução de contrato (Art. 6(1)(b) RGPD): prestar o serviço de Plataforma ao Operador e aos seus utilizadores — autenticação, gestão da operação, comunicações operacionais, geração de faturas, gestão de parceiros e contratos de parceria.
Cumprimento de obrigação legal (Art. 6(1)(c)): emissão e retenção de documentos fiscais (Cód. IVA Art. 52º), resposta a pedidos legítimos de autoridades, retenção de dados para defesa em processos judiciais.
Interesse legítimo (Art. 6(1)(f)): segurança da Plataforma (deteção de fraude, audit logs, rate limit, deteção de abuso), defesa de direitos da AboutRides, melhoria do serviço através de análises agregadas e anonimizadas, comunicações administrativas estritamente necessárias.
Consentimento (Art. 6(1)(a)): cookies de analytics, notificações push, geolocalização móvel. Revogável a qualquer momento sem afectar a licitude do tratamento prévio.
Não tratamos categorias especiais de dados (Art. 9 RGPD). O Operador é instruído a não introduzir dados sensíveis na Plataforma.
Quando o transporte é reservado e pago diretamente no site da AboutRides, os papéis previstos na secção «Quem somos e identificação» invertem-se relativamente aos dados desse passageiro.
Nesses casos, a AboutRides é Responsável pelo Tratamento dos dados do passageiro, uma vez que é a AboutRides quem contrata com o Cliente, determina as finalidades e os meios do tratamento e recolhe os dados diretamente do titular.
O operador de transporte que executa materialmente a viagem trata esses dados por conta e sob instruções da AboutRides, na qualidade de Subcontratante, nos termos do artigo 28.º do RGPD, mediante contrato escrito.
Os dados transmitidos ao operador limitam-se ao necessário para a execução do transporte, designadamente nome do passageiro, contacto, locais e hora de recolha e destino, número de passageiros e informação de voo quando aplicável.
A base legal do tratamento é a execução do contrato de transporte celebrado com o titular dos dados, nos termos do artigo 6.º, n.º 1, alínea b), do RGPD, e o cumprimento de obrigações legais, designadamente fiscais e contabilísticas, nos termos da alínea c) do mesmo número.
Com sub-processadores estritamente necessários (lista abaixo), ao abrigo de contrato Art. 28 RGPD com cláusulas-tipo.
Com o Operador a que a tua conta pertence, para fins operacionais. Cada Operador vê apenas os seus dados; o isolamento entre tenants é garantido a nível de aplicação e de base de dados.
Com autoridades públicas mediante pedido legítimo (ordem judicial, autoridade tributária, autoridade de proteção de dados). Notificamos o titular sempre que legalmente permitido.
Em caso de fusão, aquisição ou venda de activos da AboutRides, os dados podem ser transferidos para a entidade sucessora, mediante notificação por email com 30 dias de antecedência e direito de exportação/eliminação.
Não vendemos dados pessoais. Não partilhamos dados com plataformas publicitárias.
Lista actualizada à data desta política. Adições ou substituições materiais são notificadas por email com 30 dias de antecedência — o Operador pode objectar e, na ausência de acordo, terminar o contrato sem custo.
Microsoft Azure (Microsoft Ireland Operations Ltd) — hosting, base de dados SQL, blob storage, telemetria. Datacenter: West Europe (Países Baixos). UE.
Stripe Payments Europe Ltd — processamento de pagamentos. Sede: Irlanda. Certificada PCI-DSS Level 1.
Azure Communication Services (Microsoft Ireland) — entrega de emails transacionais. UE.
Expo Application Services (Expo, Inc.) — serviços de notificações push para mobile. EUA, com SCCs em vigor.
Apple Push Notification Service (Apple Inc.) e Firebase Cloud Messaging (Google LLC) — entrega de push notifications. EUA, com SCCs em vigor.
Google Maps Platform (Google Ireland Ltd) — geocoding, mapas, cálculo de rotas. Irlanda e EUA, com SCCs em vigor.
Por defeito, os dados pessoais ficam armazenados na União Europeia (Azure West Europe).
Transferências para fora do Espaço Económico Europeu — quando ocorrem (Expo, Apple, Google) — são abrangidas pelas Standard Contractual Clauses (SCCs) aprovadas pela Comissão Europeia em 4 de Junho de 2021 (Decisão (UE) 2021/914) e, quando aplicável, pelo EU-U.S. Data Privacy Framework.
Cópia das SCCs em vigor disponível mediante pedido a [email protected].
A aplicação «AboutRides Driver» (iOS e Android) recolhe dados adicionais necessários ao desempenho das funções de motorista:
Localização precisa em primeiro plano: usada para mostrar o trajecto no mapa e calcular distâncias enquanto a app está aberta. Pedida na primeira utilização e revogável nas Definições do sistema operativo.
Localização em segundo plano (background): usada exclusivamente durante viagens activas para partilhar a posição em tempo real com o cliente e o Operador. A recolha pára automaticamente quando a viagem termina ou o motorista fica offline. Não recolhemos localização fora de viagens activas.
Registo da viagem para defesa em disputas: durante as viagens activas (entre «A caminho» e «Concluída») guardamos a posição do motorista no momento de cada etapa (confirmou, a caminho, chegou, passageiro a bordo, concluída, no-show) e um trajecto simplificado da viagem, sem pontos repetidos. Serve para provar o serviço prestado em caso de reclamação ou processo (por exemplo, um no-show contestado ou um atraso). Base legal: interesse legítimo (Art. 6(1)(f) RGPD) na defesa de direitos do Operador, do motorista e da AboutRides. Só os operadores do Operador e a AboutRides lhe têm acesso; o motorista não. É apagado 1 ano após o fim da viagem, excepto quando há uma reclamação ou disputa em curso, caso em que se guarda até ao seu encerramento.
Token de notificações push (ExponentPushToken via Apple APNS e Google FCM): usado para notificar o motorista de novas viagens, alterações e mensagens do Operador. A app continua funcional sem o token, mas o motorista deixa de receber notificações.
Identificador de dispositivo: gerado localmente pela app e guardado em armazenamento seguro (Keychain iOS / Keystore Android). Usado apenas para associar refresh tokens ao dispositivo. Não é partilhado com terceiros e não corresponde ao IDFA/AAID publicitário.
Base legal: execução do contrato com o Operador (Art. 6(1)(b) RGPD). O motorista pode revogar permissões nas Definições do sistema operativo a qualquer momento.
Dados de conta: enquanto a conta esteja activa. Após pedido de eliminação, retemos 15 dias (janela de recuperação) e depois apagamos definitivamente.
Dados operacionais (reservas, viagens, motoristas, veículos): enquanto necessários à operação do Operador. Após cessação do contrato, retemos durante 12 meses para resolução de disputas, e depois apagamos.
Faturas, recibos, payouts e demais documentos fiscais: 10 anos a partir do final do exercício a que respeitam (Cód. IVA Art. 52º).
Contratos de parceria assinados: 10 anos após cessação, para defesa em juízo (Cód. Civil Art. 309º) e cumprimento de obrigações comerciais.
Audit logs de segurança: 90 dias em acesso normal, 12 meses arquivados para resposta a incidentes.
Registo de localização das viagens (etapas e trajecto): 1 ano após o fim da viagem; mais tempo apenas enquanto houver reclamação ou disputa em curso sobre essa viagem.
Refresh tokens revogados: 30 dias para investigação de abuso.
Backups: até 35 dias em rotação (point-in-time restore do SQL Azure).
Após os períodos acima, os dados são apagados ou anonimizados de forma irreversível.
Encriptação em trânsito (TLS 1.2 ou superior em todas as comunicações) e em repouso (Azure Storage Service Encryption AES-256).
Passwords armazenadas com hash Argon2id; nunca em texto puro.
Sessões geridas por refresh tokens rotativos, single-use; revogação activa em mudança de password ou logout.
Tenant isolation: cada query é forçada a filtrar pelo TenantID; acesso cruzado entre tenants não é tecnicamente possível na Plataforma.
Acesso a infraestrutura restrito a um número reduzido de operadores AboutRides, com autenticação multifactor e princípio do menor privilégio.
Audit logs imutáveis de operações sensíveis (login, alterações de role, eliminação de contas, assinatura de contratos).
Programa de actualização contínua de dependências e revisão de segurança a cada deploy.
Detectada uma violação de dados pessoais com risco para os direitos e liberdades dos titulares, notificamos a CNPD em 72 horas (Art. 33 RGPD) e os titulares afectados sem demora indevida (Art. 34 RGPD).
A notificação inclui: natureza da violação, dados envolvidos, consequências prováveis, medidas tomadas e ponto de contacto para mais informação.
Direito de acesso (Art. 15 RGPD): saber se tratamos os teus dados e obter cópia.
Direito de rectificação (Art. 16): corrigir dados inexactos ou incompletos.
Direito ao apagamento (Art. 17, «direito ao esquecimento»): apagar os teus dados — sujeito às retenções legais acima descritas.
Direito à limitação do tratamento (Art. 18): suspender o tratamento em casos específicos.
Direito de portabilidade (Art. 20): receber os teus dados em formato estruturado, de uso corrente e legível por máquina.
Direito de oposição (Art. 21): opor-te ao tratamento baseado em interesse legítimo.
Direito de retirar o consentimento (Art. 7(3)): aplicável a cookies, push e localização. Não afecta a licitude do tratamento prévio.
Direito de não ser sujeito a decisão exclusivamente automatizada (Art. 22): não tomamos decisões com efeitos jurídicos por meios exclusivamente automatizados.
No CRM: Perfil → «Exportar dados» (portabilidade) e «Eliminar conta» (esquecimento).
Por email para [email protected], indicando: identidade, direito a exercer e descrição do pedido. Podemos pedir documento de identificação se houver dúvida razoável sobre a identidade do requerente.
Resposta no prazo máximo de 30 dias, prorrogável por 60 em casos complexos, com aviso.
Pedidos manifestamente infundados ou excessivos podem ser recusados ou tarifados (Art. 12(5) RGPD).
Cookies estritamente necessários: autenticação, preferência de idioma, tema e densidade visual. Sempre activos por força do Art. 5(3) E-Privacy.
Cookies funcionais: lembrar utilizador no login. Opt-in via checkbox «Lembrar-me».
Cookies de analytics: opt-in via banner de consentimento. Usamos apenas estatística agregada, sem cross-site tracking.
Não usamos cookies de marketing nem partilhamos dados com plataformas publicitárias.
Podes desactivar cookies nas definições do browser. Cookies estritamente necessários, se desactivados, impedem o login.
A Plataforma destina-se exclusivamente a entidades B2B e respectivos colaboradores adultos. Não recolhemos intencionalmente dados de menores de 16 anos.
Se identificarmos dados de menores, apagamos imediatamente.
Não tomamos decisões automatizadas com efeitos jurídicos ou que afectem significativamente o titular (Art. 22 RGPD).
Algoritmos auxiliares (matching motorista-viagem, cálculo de comissão) são meros instrumentos. O Operador mantém o controlo final sobre as decisões.
Podemos actualizar esta política para reflectir novos serviços, exigências legais ou melhorias na proteção de dados.
Alterações materiais são comunicadas por email com pelo menos 30 dias de antecedência, com a versão alterada destacada.
Versão actual indicada em «Última atualização». Versões anteriores arquivadas mediante pedido.
Se entendes que tratamos os teus dados em violação do RGPD, podes apresentar reclamação à autoridade de controlo competente:
Em Portugal: Comissão Nacional de Proteção de Dados (CNPD) — [email protected] — Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa — www.cnpd.pt.
Pedimos que nos contactes primeiro em [email protected] para que possamos resolver.