POLÍTICA DE PRIVACIDADE

Aplicação, PWA e Website de Vivatlântico Actividades Hoteleiras Lda

Última atualização: 05 de dezembro de 2025

A presente Política descreve de forma transparente como são tratados os dados pessoais dos Utilizadores no âmbito da utilização da Plataforma Vivatlântico Actividades Hoteleiras Lda, em conformidade com:

Regulamento (UE) 2016/679 (“RGPD”);
Lei n.º 41/2004 (ePrivacy);
Decreto-Lei n.º 7/2004 (contratação eletrónica);
Decreto-Lei n.º 24/2014 (consumo).

O uso da Plataforma implica o conhecimento e a aceitação dos termos aqui descritos.

1. ENTIDADES E FUNÇÕES NO ÂMBITO DO TRATAMENTO

1.1. Responsável pelo Tratamento

O Vivatlântico Actividades Hoteleiras Lda é o Responsável pelo Tratamento dos dados pessoais dos Utilizadores, determinando as finalidades e os meios do tratamento.

Vivatlântico Actividades Hoteleiras Lda
Pessoa coletiva n.º 502710705
VAT: PT502710705
Sede: Estrada Nacional 247, 31, Ribamar, 2640-027, Mafra, Mafra, PT
E-mail de contacto: apoioaocliente@vivatlantico.pt
Telefone: +351 210 541 214

1.2. Subcontratante / Processador

ONPEDIDO Programas de Informática Ltda., com sede no Brasil, atua exclusivamente como Subcontratante, tratando dados pessoais por conta e segundo instruções do Responsável, nos termos do artigo 28.º do RGPD.

A ONPEDIDO:

não decide finalidades do tratamento;
não utiliza dados para fins próprios;
não comercializa ou partilha dados com terceiros para fins não autorizados;
implementa medidas técnicas e organizativas adequadas.

Contactos:
E-mail: suporte@onpedido.com.br
CNPJ 34.620.796/0001-05 – Porto Alegre (Brasil)

1.3. Representante da ONPEDIDO na União Europeia (Art. 27.º RGPD)

Semana Tangível, Lda.
NIPC 516283480
Av. das Descobertas 597, 2785-785 Cascais
E-mail: suporte@onpedido.com.br

1.4. Subprocessadores

O Responsável e a ONPEDIDO recorrem a fornecedores que tratam dados pessoais para finalidades técnicas, incluindo, a título exemplificativo:

AWS Brasil (infraestrutura);
Twilio, Infobip (SMS / WhatsApp);
SendGrid, Amazon SES ou equivalente (e-mail transacional);
Stripe, SIBS, Easypay ou PSP equivalente (pagamentos);
Outros descritos no Anexo A – Subprocessadores.

Todos os subprocessadores estão vinculados contratualmente ao cumprimento do RGPD.

2. TIPOS DE DADOS PESSOAIS TRATADOS

2.1. Dados de Conta

nome;
e-mail;
palavra-passe (encriptada);
contacto telefónico.

2.2. Dados Necessários para Processar Encomendas

morada de entrega;
produtos selecionados;
instruções adicionais;
histórico de encomendas.

2.3. Dados de Pagamento

Processados exclusivamente pelo Prestador de Serviços de Pagamento (PSP):

token do cartão;
estado da transação;
resultado da autenticação (SCA/3D Secure).

O número completo do cartão nunca é armazenado pela Plataforma.

2.4. Dados Técnicos

endereço IP;
tipo de dispositivo;
logs essenciais;
cookies técnicos (ver Política de Cookies).

2.5. Comunicações

notificações de estado da encomenda;
comunicações promocionais (com consentimento).

3. FINALIDADES E BASES LEGAIS DO TRATAMENTO

Finalidade	Exemplos	Base Legal
Execução do contrato	Processar encomendas, emitir confirmações, comunicações de entrega.	Art. 6.º/1-b) RGPD
Pagamentos	Processar transações, prevenção de fraude.	Art. 6.º/1-b) e 6.º/1-f) RGPD
Cumprimento legal	Obrigações fiscais e de consumo.	Art. 6.º/1-c) RGPD
Segurança e prevenção de abuso	Logs, bloqueio de ataques, proteção contra fraude.	Art. 6.º/1-f) RGPD
Marketing	Newsletters, campanhas, ofertas personalizadas.	Art. 6.º/1-a) RGPD (consentimento)
Análise e melhoria da Plataforma	Estatísticas de utilização, desempenho da aplicação.	Art. 6.º/1-f) RGPD

Não são tomadas decisões automatizadas com efeitos jurídicos relevantes para o Utilizador.

4. PEDIDOS E PAGAMENTOS

Os dados são utilizados para:

confirmar e processar encomendas;
transmitir instruções ao estabelecimento;
processar pagamentos via PSP autorizado;
cumprir obrigações fiscais e legais.

O PSP pode realizar verificações antifraude nos termos da PSD2.

5. TRANSFERÊNCIAS INTERNACIONAIS

Os dados podem ser transferidos para o Brasil, onde se encontram, nomeadamente:

a ONPEDIDO (Subcontratante);
a AWS (infraestrutura, quando aplicável).

Estas transferências são protegidas com:

Cláusulas Contratuais-Tipo (SCCs 2021/914/UE – Módulo 2);
Avaliação de Impacto da Transferência (TIA), quando exigível;
Medidas técnicas e organizativas adequadas, incluindo:

encriptação;
controlo de acessos;
segregação de ambientes;
auditoria e monitorização contínua.

Não existe transferência internacional sem garantias adequadas.

6. PRAZOS DE CONSERVAÇÃO

Dados da conta: enquanto o Utilizador mantiver a conta ativa;
Dados de encomendas: até 10 anos (motivos fiscais e legais);
Logs técnicos: até 12 meses;
Dados de marketing: até retirada do consentimento;
Backups: ciclos automáticos com eliminação segura.

7. SEGURANÇA DA INFORMAÇÃO

O Responsável e a ONPEDIDO aplicam medidas de segurança adequadas ao risco, incluindo:

encriptação TLS e HTTPS;
proteção contra ataques (WAF, anti-DDoS, rate limiting);
encriptação de dados em repouso;
controlo de acessos baseado no princípio do privilégio mínimo;
monitorização contínua;
segregação de ambientes (produção, testes);
backups encriptados;
gestão segura de credenciais e MFA para equipas técnicas.

Incidentes relevantes serão comunicados à CNPD e aos titulares dos dados quando legalmente exigido.

8. DIREITOS DO TITULAR DOS DADOS

O Utilizador pode exercer, nos termos do RGPD:

Direito de acesso;
Direito de retificação;
Direito ao apagamento (“direito a ser esquecido”);
Direito à limitação do tratamento;
Direito de oposição;
Direito à portabilidade;
Direito de retirada do consentimento;
Direito de apresentar reclamação à autoridade de controlo.

Pedidos podem ser enviados para:

E-mail do Responsável: apoioaocliente@vivatlantico.pt
ONPEDIDO / Privacidade: suporte@onpedido.com.br

Reclamações podem ser apresentadas à CNPD: www.cnpd.pt.

9. COMUNICAÇÕES

O Utilizador receberá:

comunicações indispensáveis ao processamento da encomenda (transacionais), que não dependem de consentimento;
comunicações promocionais apenas com consentimento, o qual pode ser revogado a qualquer momento.

10. COOKIES

A utilização de cookies é detalhada na Política de Cookies, documento autónomo. Nenhum cookie não essencial é instalado sem consentimento explícito.

11. LIGAÇÕES EXTERNAS

A Plataforma pode conter hiperligações para websites de terceiros. O Responsável não se responsabiliza pelas respetivas políticas de privacidade.

12. DECISÕES AUTOMATIZADAS E PERFIS

Não são criados perfis suscetíveis de produzir efeitos jurídicos significativos para o Utilizador. Análises estatísticas e técnicas são utilizadas apenas para melhoria do serviço.

13. LIVRO DE RECLAMAÇÕES ELETRÓNICO

O Utilizador pode apresentar reclamação através de: https://www.livroreclamacoes.pt .

14. ALTERAÇÕES A ESTA POLÍTICA

A versão em vigor é a última publicada na Plataforma. Alterações significativas serão comunicadas ao Utilizador, nomeadamente através da Plataforma ou de comunicação direta, quando adequado.

15. CONTACTOS

Responsável pelo Tratamento:

Vivatlântico Actividades Hoteleiras Lda
E-mail: apoioaocliente@vivatlantico.pt
Telefone: +351 210 541 214

Subcontratante (Processador):

ONPEDIDO Programas de Informática Ltda.
E-mail: suporte@onpedido.com.br

Representante UE da ONPEDIDO:

Semana Tangível, Lda.
E-mail: suporte@onpedido.com.br

Autoridade de Controlo:

CNPD — Comissão Nacional de Proteção de Dados
www.cnpd.pt

ANEXO A – SUBPROCESSADORES AUTORIZADOS

Nos termos dos Termos de Utilização e da presente Política de Privacidade, o estabelecimento autoriza a ONPEDIDO e a Semana Tangível a utilizar subprocessadores (“sub-subcontratantes”) para apoiar o funcionamento da Plataforma.

A lista atual inclui, a título exemplificativo:

1. AWS — Amazon Web Services, Brasil

Função: Hospedagem e infraestrutura (IaaS);
Localização: São Paulo, Brasil;
Responsabilidades: Armazenamento de dados, execução de servidores, backups, segurança física;
Base legal da transferência: SCC (UE → Brasil), integradas nos Termos.

2. Serviços de SMS / OTP

Fornecedores possíveis (conforme contratação ativa):

Twilio – comunicação transacional;
Infobip – envio de SMS e notificações;
Gateways de operadoras locais (PT Empresas / Vodafone / NOS), quando aplicável.

Função: envio de códigos, alertas, notificações de encomenda.
Localização: variada (UE, Brasil ou EUA), regulada por SCC quando necessário.

3. E-mail transacional

Fornecedores possíveis:

SendGrid (Twilio SendGrid);
Amazon SES (AWS);
Mailgun, ou equivalente.

Função: envio de e-mails automáticos.
Localização: global, conforme fornecedor – SCC aplicadas quando fora do EEE.

4. Notificações Push

Google Firebase Cloud Messaging (FCM);
Apple Push Notification Service (APNS).

Função: envio de notificações push para dispositivos móveis.
Localização: EUA (Google), UE/EUA (Apple).
Base legal: SCC aplicáveis e utilização de dados mínimos necessários.

5. Gateways de Pagamento (quando integrados)

Dependendo do estabelecimento, podem ser utilizados:

Stripe;
Easypay;
IfThenPay;
SIBS;
Outros PSP equivalentes.

Função: processamento de pagamentos eletrónicos.
Nota: Dados de cartão são tokenizados — a Plataforma e a ONPEDIDO não armazenam o número completo do cartão (PAN).

6. Ferramentas de Análise e Monitorização (apenas se ativadas pelo estabelecimento)

Google Analytics;
Meta Pixel;
Google Ads Conversion Tracking;
Outras ferramentas analíticas equivalentes.

Função: análise estatística e melhoria de desempenho.
Base legal: consentimento do Utilizador final (quando exigido).
Localização: geralmente EUA – incluídas em SCC e regulamentos aplicáveis.

7. Outras integrações

Qualquer novo subprocessador será:

notificado ao estabelecimento, quando exigido;
sujeito a cláusulas contratuais e SCC, quando aplicável;
avaliado quanto à conformidade com o RGPD pela ONPEDIDO e pela Semana Tangível.