Política de privacidade.

O responsável pelo tratamento dos dados pessoais é O Meu Dia (doravante «O Meu Dia», «nós» ou «plataforma»), contactável através do endereço .

Nesta fase, O Meu Dia é o nome comercial sob o qual o serviço é operado. A identificação fiscal completa (denominação social e NIF/NIPC) será acrescentada a esta política assim que a entidade for formalmente constituída.

Tratamos os dados pessoais em conformidade com o Regulamento (UE) 2016/679 (RGPD) e a legislação nacional aplicável.

No modelo B2B2C da plataforma, O Meu Dia atua como responsável pelo tratamento dos dados dos organizadores (ex.: noivos, padrinhos). Relativamente aos dados dos convidados, O Meu Dia atua frequentemente como subcontratante em nome do organizador, que determina os fins da recolha e é o principal responsável perante os seus convidados. Os Termos e Condições para organizadores formalizam esta relação e as obrigações de cada parte.

Recolhemos apenas os dados estritamente necessários para cada finalidade:

Mediante consentimento, utilizamos cookies de análise (Google Analytics) exclusivamente para perceber como o site é visitado e melhorar a experiência. Não criamos perfis comportamentais individuais nem tomamos decisões automatizadas com efeitos jurídicos significativos.

Dados de menores: a submissão de dados de menores (por exemplo, nome e grupo etário para confirmação de presença) deve ser feita exclusivamente pelos respetivos pais ou tutores legais, que assumem a responsabilidade pelo consentimento aplicável.

Jornada física→digital: como a experiência começa num convite em papel e transita para a plataforma digital via QR code, o primeiro ecrã da aplicação apresenta um link visível para esta Política de Privacidade antes de o convidado introduzir qualquer dado.

Recorremos a terceiros para operar a plataforma. Todos celebraram connosco um acordo de tratamento de dados e oferecem garantias suficientes de conformidade com o RGPD:

• Supabase — base de dados, autenticação e armazenamento de ficheiros. Dados alojados na União Europeia (região EU West).
• Cloudflare — alojamento, CDN e verificação de segurança (Turnstile). Empresa sediada nos EUA; transferências ao abrigo de Cláusulas Contratuais Padrão (CCS).
• Resend — envio de emails transacionais (OTP, confirmações, comunicados). Empresa sediada nos EUA; transferências ao abrigo de CCS.
• Twilio (Twilio Inc., EUA) — envio de SMS com notificações do evento (lembretes, comunicados, fotos). O número de telemóvel e o conteúdo da mensagem são transmitidos à Twilio para entrega; não guardamos o conteúdo das mensagens nos nossos sistemas. Transferências ao abrigo de CCS.
• Upstash — armazenamento em memória para limitação automática de pedidos (rate limiting anti-abuso). Os endereços IP são processados temporariamente durante a janela de controlo (máximo 15 minutos) e não são persistidos para outros fins. Empresa sediada nos EUA; transferências ao abrigo de CCS.
• Sentry (Functional Software, Inc., EUA) — monitorização de erros e gravação de sessão (session replay) para diagnóstico técnico. As gravações mascaram todo o texto visível e bloqueiam imagens e média, e só são ativadas após consentimento de análise. Transferências ao abrigo de CCS.
• Google Analytics (Google LLC, EUA) — análise de tráfego e comportamento no site. Ativado apenas após consentimento explícito. Transferências ao abrigo de CCS.
• Meta Platforms, Inc. (EUA) — pixel de medição de campanhas publicitárias. Ativado apenas após consentimento explícito. Transferências ao abrigo de CCS.

Nunca vendemos nem cedemos dados pessoais a terceiros para fins comerciais.

Utilizamos dois tipos de cookies: os estritamente necessários para o funcionamento do serviço (sem necessidade de consentimento) e os cookies de análise e marketing (ativados apenas com o teu consentimento explícito).

4.1 Cookies estritamente necessários

• Cookies de sessão Supabase — guardam o token de autenticação para manter a sessão ativa. Expiram quando feches o browser ou ao fim do período de sessão.
• Cloudflare Turnstile — verifica que o pedido é humano (formulários de contacto). Não armazena dados pessoais identificáveis.

Por se tratarem de cookies estritamente necessários, o seu uso não requer consentimento prévio nos termos da Diretiva ePrivacy.

4.2 Cookies de análise (com consentimento)

• Google Analytics 4 (Google LLC, EUA) — recolhe métricas de visitas anónimas (páginas visitadas, origem do tráfego, duração). Ativado apenas após consentimento. Base legal: Art.º 6.º n.º 1 a) RGPD (consentimento). Transferências para os EUA ao abrigo de CCS.

4.3 Cookies de marketing (com consentimento)

• Meta Pixel (Meta Platforms, Inc., EUA) — mede a eficácia de eventuais campanhas publicitárias. Ativado apenas após consentimento. Base legal: Art.º 6.º n.º 1 a) RGPD (consentimento). Transferências para os EUA ao abrigo de CCS.

4.4 Gestão do consentimento

Ao acederes ao site pela primeira vez, é apresentado um aviso de cookies onde podes aceitar todos os cookies ou escolher apenas os estritamente necessários. Podes retirar o teu consentimento a qualquer momento limpando os dados de navegação do browser (localStorage) ou ajustando as definições do teu browser. A retirada do consentimento não afeta a licitude do tratamento efetuado antes dessa retirada.

• Dados de convidados — conservados durante a duração do evento e eliminados 12 meses após a data do mesmo, salvo pedido de eliminação antecipado.
• Dados de organizadores — conservados durante a vigência do contrato de serviço e por mais 3 anos após o seu término (obrigações legais e fiscais).
• Pedidos de orçamento — conservados por 3 anos a partir da data do pedido.
• Dados técnicos (logs) — conservados por no máximo 90 dias.
• Dados de limitação de pedidos (Upstash) — endereços IP conservados automaticamente apenas durante a janela de controlo, no máximo 15 minutos.

Alguns dos nossos subcontratantes estão sediados fora do Espaço Económico Europeu (EEE), nomeadamente nos EUA. Nestes casos, as transferências são realizadas ao abrigo de Cláusulas Contratuais Padrão (CCS) aprovadas pela Comissão Europeia, que oferecem salvaguardas equivalentes às exigidas pelo RGPD.

Tens os seguintes direitos relativamente aos teus dados pessoais:

• Acesso — solicitar uma cópia dos dados que guardamos sobre ti.
• Retificação — corrigir dados inexatos ou incompletos.
• Eliminação — pedir a eliminação dos teus dados («direito ao esquecimento»).
• Portabilidade — receber os teus dados num formato estruturado e legível por máquina.
• Oposição — opor-te ao tratamento baseado em interesses legítimos.
• Limitação — solicitar a suspensão do tratamento em certas circunstâncias.

Para exercer qualquer destes direitos, envia um email para privacidade@omeudia.pt. Respondemos no prazo máximo de 30 dias. Tens ainda o direito de apresentar reclamação junto da CNPD (Comissão Nacional de Proteção de Dados).

Adotamos medidas técnicas e organizativas adequadas para proteger os dados pessoais contra acesso não autorizado, alteração, divulgação ou destruição, incluindo encriptação em trânsito (TLS), controlo de acesso por funções (RLS) e armazenamento seguro de credenciais.

Podemos atualizar esta política periodicamente. Em caso de alterações significativas, notificaremos os utilizadores registados por email com pelo menos 30 dias de antecedência. A data da última atualização está indicada no topo desta página.

Para qualquer questão relacionada com privacidade ou proteção de dados, contacta-nos em privacidade@omeudia.pt.