1. Responsável e papéis de privacidade
Titular: GATAVIA GLOBAL, S.L. · NIF espanhol B05722335 · Calle Rascafría, 67, escalera 11, 28670 Villaviciosa de Odón, Madrid, Espanha · info@gatavia.com
Contacto de privacidade: info@gatavia.com.
A Gatavia atua como responsável por conta, contratação, faturação, apoio, segurança e operações próprias. Quando um proprietário, gestor ou empresa introduz dados de terceiros e determina as finalidades, esse cliente atua como responsável e a Gatavia como subcontratante segundo instruções documentadas.
2. Dados tratados
- Identidade e contacto
- Conta, autenticação, preferências e segundo fator quando ativado
- Dados de imóveis, proprietários, hóspedes, reservas, receitas, despesas e liquidações quando pessoais
- Documentos, contratos, faturas, recibos e ficheiros enviados
- Apoio e pedidos de privacidade
- Dados técnicos e de segurança necessários à proteção do serviço
- Plano, faturação e estado do pagamento; os dados completos do cartão são tratados pela Stripe
3. Finalidades
- Criar e proteger contas e sessões
- Prestar os serviços Gatavia
- Gerir reservas, proprietários, liquidações, documentos e análises solicitadas
- Processar documentos quando o utilizador solicita extração ou análise
- Gerir compras, subscrições, faturação, apoio e direitos
- Prevenir fraude, abuso, acessos não autorizados e incidentes
- Cumprir obrigações legais
- Melhorar segurança e funcionamento
- Enviar marketing apenas quando exista base jurídica válida
4. Bases jurídicas
Consoante o tratamento: contrato ou medidas pré-contratuais, obrigação legal, interesse legítimo em segurança, prevenção de fraude e melhoria, ou consentimento quando exigido.
Quando a Gatavia atua como subcontratante para dados de terceiros, trata-os por conta do cliente responsável segundo o acordo de tratamento e instruções documentadas.
5. Fornecedores, subcontratantes e transferências
A Gatavia utiliza Supabase para base de dados, autenticação e armazenamento, Vercel para alojamento, Stripe para pagamentos e subscrições, Resend para e-mail transacional e OpenAI para determinadas funções de IA.
São comunicados apenas os dados necessários e a Gatavia mantém um inventário interno de subcontratantes.
Quando existam países terceiros, são utilizadas garantias adequadas como decisões de adequação, cláusulas contratuais-tipo ou outros mecanismos válidos.
6. IA e documentos
A IA financeira da Gatavia aplica minimização de dados e recebe principalmente totais, rácios, comparações e categorias necessárias, evitando identificadores pessoais desnecessários.
Quando o utilizador solicita expressamente extração de faturas ou documentos, o ficheiro necessário tem de ser processado. A Gatavia limita formatos e tamanho, verifica a pertença do ficheiro e configura os pedidos OpenAI com store:false.
A OpenAI declara que os dados empresariais e de API não são usados para treino por defeito. Na configuração API padrão alguns dados podem ser conservados temporariamente, atualmente até 30 dias, salvo configuração de retenção zero aplicável.
7. Segurança
A Gatavia aplica separação lógica por utilizador e conta, políticas de acesso ao nível de linha, armazenamento privado e ligações temporárias assinadas para documentos.
O meu Gatavia suporta 2FA TOTP; quando ativada exige o segundo fator e determinadas ações irreversíveis exigem verificação reforçada. As novas palavras-passe têm pelo menos 12 caracteres.
As credenciais de integrações não são expostas ao navegador, as funções privilegiadas são limitadas e são mantidos registos de pedidos de privacidade e incidentes.
8. Conservação e apagamento
Os dados operacionais são conservados enquanto necessários ao serviço. Após pedido de apagamento ou cessação, os dados desnecessários são eliminados ou anonimizados e os sujeitos a obrigação legal são bloqueados ou restringidos.
Em Espanha determinados documentos empresariais podem estar sujeitos à conservação geral de seis anos e os prazos fiscais gerais são de quatro anos, sem prejuízo de regras especiais.
A Gatavia mantém uma política interna de conservação por categoria e evita apagamento automático quando possa existir obrigação de conservação.
9. Direitos
Quando aplicável pode exercer acesso, retificação, apagamento, oposição, limitação, portabilidade e retirada do consentimento em info@gatavia.com.
A Gatavia regista pedidos com data, tipo, estado e histórico. Um pedido de eliminação da conta gera um processo de privacidade e, se a 2FA estiver ativada, exige verificação reforçada.
Pode também reclamar junto da autoridade de proteção de dados competente.
10. Gestores profissionais e acordo de tratamento
Quando um gestor, empresa ou proprietário trata na Gatavia dados de terceiros por sua conta, o papel da Gatavia como subcontratante é formalizado através de um acordo de tratamento versionado.
O acesso a módulos com dados de proprietários ou hóspedes pode exigir aceitação da versão vigente, registando utilizador, conta, versão, data e método.
O acordo regula, entre outros pontos, objeto, instruções, confidencialidade, segurança, subcontratantes, direitos, incidentes, devolução ou apagamento e auditoria.
11. Incidentes e responsabilização
A Gatavia mantém um registo estruturado de incidentes com natureza, gravidade, dados afetados, contenção e avaliação do risco.
Quando legalmente exigido, são seguidos os procedimentos e prazos aplicáveis, incluindo o controlo do prazo de 72 horas quando pertinente.
12. Alterações
Esta política é atualizada em caso de alterações legais, técnicas, funcionais, de fornecedores ou segurança. Alterações relevantes ao acordo de tratamento são também geridas por versão e nova aceitação.
13. YouTube API Services
A Gatavia utiliza YouTube API Services exclusivamente para permitir que uma conta autorizada publique vídeos e Shorts no seu próprio canal de YouTube a partir das ferramentas internas de publicação da Gatavia.
A ligação utiliza Google OAuth 2.0 e, para carregamentos, a Gatavia solicita apenas o âmbito necessário para enviar vídeos (youtube.upload). A Gatavia não utiliza esta integração para ler mensagens privadas, gerir publicidade, vender dados ou aceder a informação do canal que não seja necessária para concluir uma publicação autorizada.
A Gatavia pode conservar de forma segura os tokens OAuth estritamente necessários para evitar nova autorização em cada publicação. Estes tokens são usados apenas para ações autorizadas pelo titular da conta e não são vendidos nem cedidos a terceiros para fins publicitários.
O utilizador pode revogar o acesso da Gatavia à sua Conta Google a qualquer momento na área de ligações de terceiros da Conta Google. Após a revogação ou quando a integração deixar de ser necessária, a Gatavia eliminará ou invalidará as credenciais guardadas assim que razoavelmente possível, salvo registos técnicos mínimos necessários para segurança ou cumprimento legal.
A utilização pela Gatavia de informações recebidas das APIs Google cumpre a Google API Services User Data Policy, incluindo os requisitos de Limited Use.
