Política de Privacidade

Versão 2026-10 · atualizado em 13 de outubro de 2026

Esta política explica que dados pessoais são tratados no Portal do Funcionário, para que fins, durante quanto tempo e que direitos tem. Faz parte dos Termos e Condições.

1. Quem trata os dados

O Serviço tem dois papéis diferentes:

• Responsável pelo tratamento (João Jorge Machado Camelo, NIF 210529067, Rua Inácio José Peixoto nº 116 AP16): quanto aos dados da conta da empresa, à faturação e aos pagamentos, ao suporte e à segurança do Serviço.
• Subcontratante: quanto aos dados pessoais dos colaboradores que a empresa cliente regista no Serviço (despesas, quilómetros, noites fora, horas extra e férias). Nesses dados, a empresa cliente é a responsável pelo tratamento e o Prestador trata-os por conta dela (ver ponto 9).

Contacto para questões de privacidade: geral@hybridus.pt.

2. Que dados são tratados

• Conta: nome da empresa, NIF, morada, logótipo, telefone e e-mail do administrador; nome e e-mail de cada utilizador; a palavra-passe, que é guardada de forma cifrada e não pode ser lida por ninguém.
• Registos da empresa: faturas (data, NIF do fornecedor, valor, tipo de despesa, centro de custos e a fotografia do documento), viagens (origem, destino e quilómetros), noites fora, horas extra, pedidos de férias e o seu estado, e as tarifas definidas pela empresa.
• Faturação e pagamentos: nome, NIF e morada da empresa, plano, valor, data e método de pagamento. Os dados do cartão são tratados apenas pela Stripe e não chegam ao Prestador.
• Suporte e comunicações: as mensagens enviadas pelo formulário de suporte e os e-mails de aviso do Serviço.
• Registo de acessos: a data e hora em que cada utilizador entra e sai do Serviço, a última atividade, o tipo de dispositivo e navegador (por exemplo, «Chrome · Android») e o endereço IP.
• Dados técnicos: um cookie de sessão e os registos de acesso dos servidores (por exemplo, o endereço IP).

3. Para que fins e com que fundamento

• Prestar o Serviço e gerir a conta: execução do contrato.
• Cobrar, faturar e cumprir obrigações fiscais e contabilísticas: execução do contrato e obrigação legal.
• Responder a pedidos de suporte e enviar avisos sobre a subscrição (por exemplo, que o plano vai expirar): execução do contrato.
• Garantir a segurança, prevenir abusos e manter cópias de segurança: interesse legítimo do Prestador em proteger o Serviço e os dados.
• Registar os acessos (quem entrou e quando) para detetar utilizações indevidas e permitir ao administrador da empresa saber quem está ligado e consultar o histórico de entradas e saídas dos seus utilizadores: interesse legítimo do Prestador e da empresa cliente na segurança dos dados.

4. Quem recebe os dados

O Prestador não vende dados. Para prestar o Serviço recorre a estes fornecedores (subcontratantes ulteriores):

• Stripe Payments Europe, Ltd.: processamento de pagamentos.
• Fornecedor de alojamento web e de correio eletrónico: onde o Serviço e as suas cópias de segurança estão alojados e de onde são enviados os e-mails.
• nif.pt: consulta de informação pública de uma entidade (nome e atividade) a partir do NIF do fornecedor que consta de uma fatura. Só é enviado o NIF do fornecedor.
• Cloudflare (cdnjs) e jsDelivr: redes de distribuição de ficheiros que servem as bibliotecas dos gráficos do dashboard e da leitura do QR Code. Ao carregar essas páginas, o navegador pede os ficheiros diretamente a esses fornecedores, que ficam a conhecer o endereço IP.

Os dados podem também ser comunicados a autoridades quando a lei o exigir. A lista atualizada de fornecedores pode ser pedida para geral@hybridus.pt.

5. Transferências para fora da União Europeia

A Stripe pode tratar dados fora do Espaço Económico Europeu, com as salvaguardas previstas no RGPD, nomeadamente cláusulas contratuais-tipo.

6. Durante quanto tempo guardamos os dados

• Dados da conta e registos da empresa: enquanto a conta estiver ativa e, depois de desativada ou cancelada, durante 90 dias, findos os quais são eliminados.
• Faturação e pagamentos: durante o prazo que a lei fiscal e comercial impõe (atualmente 10 anos).
• Registo de acessos: 12 meses; os registos mais antigos são apagados automaticamente.
• Cópias de segurança: as cópias diárias são mantidas durante 30 dias e depois apagadas.
• Mensagens de suporte: enquanto forem necessárias para acompanhar o pedido e, no máximo, enquanto durar a relação com a empresa.

7. Os seus direitos

Pode pedir o acesso aos seus dados, a sua retificação, o apagamento, a limitação do tratamento, a portabilidade e opor-se ao tratamento, quando a lei o permita. Escreva para geral@hybridus.pt.

Se for colaborador de uma empresa cliente, os seus dados dos registos (despesas, viagens, horas extra, férias) são tratados por conta dessa empresa: deve exercer os direitos junto dela, e o Prestador apoia-a nesse pedido.

Tem ainda o direito de apresentar queixa à Comissão Nacional de Proteção de Dados (www.cnpd.pt).

8. Segurança

A ligação ao Serviço é cifrada (HTTPS), as palavras-passe são guardadas de forma cifrada, o acesso aos dados de cada empresa é restrito aos seus utilizadores e são feitas cópias de segurança diárias. Nenhum sistema é totalmente imune; em caso de violação de dados pessoais, o Prestador notifica a empresa afetada sem demora injustificada.

9. Tratamento por conta da empresa cliente (subcontratante)

Quanto aos dados pessoais dos colaboradores que a empresa cliente regista no Serviço, o Prestador compromete-se a:

• tratar esses dados apenas para prestar o Serviço e de acordo com as instruções documentadas da empresa, que são estes Termos e a utilização que ela faz do Serviço;
• garantir que as pessoas autorizadas a tratar os dados estão sujeitas a um dever de confidencialidade;
• aplicar as medidas de segurança descritas no ponto 8;
• recorrer apenas aos subcontratantes ulteriores indicados no ponto 4, impondo-lhes obrigações equivalentes, e informar a empresa de qualquer alteração relevante;
• ajudar a empresa a responder aos pedidos dos titulares dos dados e a cumprir as suas obrigações de segurança e de notificação de violações;
• no fim da prestação do Serviço, eliminar os dados no prazo do ponto 6 ou devolvê-los (exportação e cópia de segurança), à escolha da empresa;
• disponibilizar à empresa a informação necessária para demonstrar o cumprimento destas obrigações.

O administrador da empresa cliente pode consultar os registos de acesso dos utilizadores da sua empresa (entradas, saídas, dispositivo e IP). Cabe à empresa informar os seus colaboradores desse registo.

10. Cookies

O Serviço usa apenas um cookie de sessão, estritamente necessário para manter a sessão iniciada, e guarda no seu navegador a preferência entre modo claro e escuro. Não usa cookies de publicidade nem de análise. A página de pagamento da Stripe tem as suas próprias regras. O detalhe está na Política de Cookies.

11. Alterações

Se esta política mudar de forma relevante, o administrador de cada empresa é avisado por e-mail.