Política de privacidade

Esta é a nossa Política de privacidade. Os Termos de utilização (EULA) da Mimos estão numa página separada. Ver os Termos de utilização →

1. Sobre esta política e a quem se destina

A Mimos é uma plataforma multi-inquilino de software como serviço (SaaS) que os negócios de grooming usam para gerir clientes, animais, marcações, mensagens e uma montra de reservas online. A plataforma é operada pela Mimos Technology Inc. ("Mimos", "nós"), 108 W 39th St, STE1006 PMB2057 New York City, 10018 NY, USA.

Esta política explica quais os dados pessoais que tratamos, porquê, com que fundamento legal, com quem os partilhamos, durante quanto tempo os conservamos e que direitos tens. Aplica-se a:

• Negócios de grooming que subscrevem a Mimos (os nossos clientes diretos) e os utilizadores da equipa desses negócios que têm uma conta.
• Donos de animais ("clientes") cujos dados um negócio de grooming guarda na Mimos ou que reservam através da montra online de um negócio.
• Visitantes do nosso site joinmimos.com, da nossa aplicação e das nossas páginas de reserva.

2. O nosso papel: responsável pelo tratamento e subcontratante

A Mimos desempenha dois papéis distintos em matéria de proteção de dados. É importante perceber qual se aplica a ti.

Somos o responsável pelo tratamento dos dados pessoais cujas finalidades e meios de tratamento decidimos — principalmente:

• Dados de conta e de utilizadores da equipa (registo, autenticação, administração de faturação, apoio, segurança).
• Dados técnicos e de utilização que recolhemos para operar, proteger e melhorar a plataforma.
• Comunicações entre nós e os nossos clientes empresariais.

Somos subcontratante (e o negócio de grooming é o responsável pelo tratamento) dos dados pessoais que um negócio introduz ou gera sobre os seus próprios clientes e os animais destes — por exemplo, dados de contacto dos clientes, fichas dos animais, histórico de marcações, fotografias, registos de vacinação e registos de mensagens. Tratamos esses dados apenas mediante as instruções documentadas do negócio, com a finalidade de prestar o serviço. Cada negócio é responsável por ter um fundamento legal para recolher estes dados e por responder aos pedidos de privacidade dos seus próprios clientes; o nosso tratamento rege-se pelas condições de tratamento de dados incluídas nos nossos Termos de utilização, que funcionam como o nosso acordo de tratamento de dados (DPA).

Se és dono de um animal e queres aceder, corrigir ou apagar a informação que um salão de grooming tem sobre ti, contacta diretamente esse salão — é ele que controla a tua ficha. Vamos ajudá-lo na qualidade de subcontratante.

3. Dados pessoais que tratamos

Os dados efetivamente presentes dependem de como um negócio configura a Mimos e do que escolhe registar. As categorias abaixo refletem aquilo que a plataforma é capaz de armazenar.

3.1 Contas de negócios e de utilizadores da equipa (Mimos como responsável pelo tratamento)

• Identidade e contacto: nome próprio e apelido, endereço de email, número de telefone.
• Autenticação e segurança: palavra-passe codificada (hash), tokens de confirmação de email e de reposição de palavra-passe, token de "manter sessão iniciada", contadores de tentativas falhadas de início de sessão e estado de bloqueio, e metadados de início de sessão (datas/horas e endereços IP do início de sessão atual/último).
• Opções de início de sessão: se inicias sessão com a Google ou com a Apple, recebemos o teu nome, o teu endereço de email e um identificador de conta desse fornecedor; se registares uma chave de acesso (passkey), guardamos a respetiva chave pública — os dados biométricos nunca saem do teu dispositivo.
• Perfil: fotografia de avatar opcional e — para membros da equipa que sejam groomers reserváveis — biografia, especialidades, cor de calendário, data de contratação e percentagem de comissão.
• Dados de trabalho: horário de trabalho, ausências (incluindo qualquer motivo registado), atribuições de localização e a configuração/definições do negócio.
• Função e pertença: a que negócio(s) o utilizador pertence e a sua função (administrador ou membro).

3.2 Dados de clientes e animais (Mimos como subcontratante, por conta do negócio)

• Dados do dono do animal ("cliente"): nome, endereço(s) de email, número(s) de telefone, morada(s) postal/de faturação, notas de texto livre, origem de aquisição, relações de agregado familiar e etiquetas/rótulos — quer introduzidos manualmente, quer importados em massa (por exemplo, a partir de um CSV da lista de clientes existente do negócio).
• Preferências de mensagens e consentimento: se o cliente consentiu em receber lembretes automáticos/mensagens de marketing, quando o consentimento foi dado ou retirado, e o canal preferido (SMS, email ou nenhum).
• Fichas dos animais: nome, espécie, raça, data de nascimento, sexo, tamanho, peso, pelo/temperamento, alergias e notas médicas, e fotografias dos animais (fotografia de perfil e fotografias de grooming antes/depois).
• Registos de vacinação: nome/tipo de vacina, datas de administração e de validade, verificação e qualquer motivo/notas de exceção, e um documento de comprovativo carregado (fotografia ou PDF de um certificado).
• Marcações e histórico de serviços: reservas, horas, estado, registos de preço, notas/instruções especiais da marcação e qual o membro da equipa que prestou o serviço.
• Pagamentos e sinais: quando um negócio ativa sinais de reserva, registos dos montantes dos sinais, do estado e das referências de pagamento do Stripe. Os dados do cartão ficam no Stripe; nunca os vemos nem armazenamos.
• Consentimentos e assinaturas: documentos de termo de responsabilidade/consentimento recolhidos no check-in, incluindo indicadores de consentimento para fotografia, o nome de quem assina e um conteúdo de assinatura digital, além da versão/localidade do documento e da data/hora.
• Avaliações e testemunhos: classificações e comentários de texto livre submetidos pelos clientes (alguns através de ligações com token), e qualquer nome/fotografia de autor de testemunho que um negócio escolha publicar.
• Comunicações: um registo das mensagens enviadas para os clientes ou recebidas deles, incluindo o telefone/email do destinatário, o canal (SMS, WhatsApp, email), o corpo da mensagem, a direção, o estado de entrega e qualquer erro.

Nota sobre dados sensíveis. As alergias e notas médicas sobre animais são informação de saúde animal, não dados pessoais de categoria especial relativos a uma pessoa. No entanto, os campos de texto livre (notas de cliente, notas de marcação, comentários de avaliações) podem conter aquilo que um utilizador escrever. Os negócios devem evitar registar categorias especiais de dados pessoais sobre pessoas nestes campos.

3.3 Dados recolhidos automaticamente

• Cookies de sessão e de autenticação (ver §6).
• Registos de servidor e de segurança, incluindo endereço IP, metadados do pedido e user-agent, usados para operar, proteger e depurar o serviço. Palavras-passe, tokens, códigos OTP e segredos semelhantes são filtrados dos nossos registos.
• Telemetria de desempenho e de rastreio através do nosso fornecedor de monitorização de desempenho de aplicações (ver §7), constituída por metadados de pedido e de rastreio.
• Eventos de análise de produto (por exemplo, eventos de funil/utilização com um identificador de sessão e o utilizador autenticado, quando aplicável).
• Tokens de notificações push móveis para membros da equipa que usem a aplicação companheira para iOS ou Android (token de dispositivo, plataforma, ambiente, hora da última atividade). As notificações são entregues através do Apple Push Notification service (APNs) no iOS e do Firebase Cloud Messaging (FCM) no Android; os dados do token recolhidos são os mesmos em ambas as plataformas.
• Telemetria própria do site joinmimos.com: contagens agregadas de páginas vistas, origem do tráfego, profundidade de deslocamento e cliques em chamadas para ação. Não usa cookies — o identificador de visita fica no armazenamento de sessão do teu navegador e desaparece quando fechas o separador — e nunca regista o que escreves num formulário.
• Google Analytics 4 em joinmimos.com. Carrega em todas as páginas num modo restrito e sem cookies; só se aceitares a categoria de analítica é que instala cookies próprios (_ga, _ga_<id>) com um identificador pseudónimo e regista as páginas que vês, como chegaste e o teu dispositivo, navegador, idioma e localização aproximada.
• Identificadores de clique da Google em joinmimos.com. Se aceitares a categoria de publicidade e chegares através de um anúncio da Google, guardamos o identificador que a Google acrescentou ao link (gclid, gbraid ou wbraid). Acompanha-te até à página de registo e, se criares uma conta, enviamo-lo com a hora para o Google Ads para que a conta possa ser associada ao anúncio em que clicaste. Nunca enviamos o teu nome, o teu email nem nada do que escreveste. Sem o teu consentimento para publicidade, o identificador não é guardado.
• Dados de subscrição e compra do Mimos Pro (o nosso plano pago). Quando subscreve através da App Store ou do Google Play, tratamos o identificador de transação da loja, o identificador do produto (por exemplo, o plano mensal ou anual), um identificador pseudónimo por conta que a aplicação envia à loja (appAccountToken da Apple / obfuscatedAccountId da Google, derivado do ID da sua conta) e o estado da subscrição ou do direito de acesso resultante. Se subscrever na web através do Stripe, tratamos os seus identificadores de cliente e de subscrição do Stripe, o identificador do produto e o estado da subscrição. Tratamos estes dados apenas para conceder e gerir o acesso ao Mimos Pro.

Não armazenamos números de cartões de pagamento nem dados de conta bancária; a Mimos não é um processador de pagamentos.

4. Porque tratamos dados e os nossos fundamentos legais

Sempre que se apliquem o GDPR (EU/EEA), a LGPD do Brasil ou outras leis de proteção de dados aplicáveis, baseamo-nos nos seguintes fundamentos:

Para o nosso próprio marketing dirigido a negócios, ou quando o consentimento seja de outro modo exigido, baseamo-nos no consentimento, que podes retirar a qualquer momento.

5. Mensagens a clientes e consentimento

A Mimos pode enviar mensagens por SMS e email aos clientes de um negócio (por exemplo, lembretes e confirmações de marcações), com mensagens por WhatsApp disponíveis onde estiver ativado. As mensagens de WhatsApp são enviadas a partir do número de WhatsApp Business do próprio negócio através da WhatsApp Business Cloud API da Meta, atuando a Mimos como "Tech Provider" da Meta em nome do negócio. A plataforma regista e impõe o consentimento de mensagens: o estado e a data/hora do consentimento de um cliente são armazenados, e as mensagens automáticas a clientes ficam condicionadas a esse consentimento. Os clientes podem retirar o consentimento a qualquer momento, contactando o negócio ou seguindo as instruções de exclusão sempre que fornecidas. Os registos de mensagens são conservados como parte dos registos do negócio (ver §9).

6. Cookies e tecnologias semelhantes

A Mimos usa um pequeno número de cookies estritamente necessários para funcionar. Estes incluem:

• Um cookie de sessão (por exemplo, _pet_crm_session) para te manter com sessão iniciada e proteger contra falsificação de pedidos entre sites. É HttpOnly, SameSite=Lax e (em produção) Secure (apenas HTTPS).
• Um cookie de "manter sessão iniciada" definido apenas se escolheres essa opção ao iniciar sessão, para que continues com sessão iniciada entre sessões do navegador; é eliminado ao terminar sessão.

Como estes cookies são essenciais para prestar um serviço que pedes, não exigem consentimento ao abrigo das regras ePrivacy. Separadamente, só depois de aceitares a categoria publicitária carregamos o Meta Pixel na web ou ativamos o SDK da Meta nas apps móveis. Podemos usar um identificador pseudónimo de conta, identificadores de instalação, dispositivo ou publicidade quando disponíveis e permitidos, e eventos limitados de interação, registo e subscrição para medir campanhas e atribuir resultados. No iOS também pedimos a autorização de App Tracking Transparency (ATT). Podes recusar ou retirar este consentimento a qualquer momento nas preferências de cookies da web ou em Privacidade na app; a retirada interrompe utilizações e envios futuros.

No nosso site joinmimos.com também pedimos consentimento para os cookies de analítica. O Google Analytics 4 carrega em todas as páginas, mas até aceitares a categoria de analítica funciona num modo restrito: não instala cookies, não usa identificadores e envia à Google apenas o endereço da página, o teu dispositivo e navegador, e uma localização aproximada derivada do teu endereço IP. Só se aceitares é que instalamos cookies próprios de analítica (_ga, _ga_<id>, com duração até 24 meses) que ligam as tuas visitas entre si. O Google Signals e a personalização de anúncios estão desativados, por isso estes cookies não são usados para criar audiências publicitárias. Rejeitar leva um clique, e podes alterar ou retirar a tua escolha a qualquer momento em “Preferências de cookies”, no rodapé do site.

Só depois de aceitares a categoria de publicidade carregamos a etiqueta do Google Ads nas páginas de registo de app.joinmimos.com. Lê o identificador de clique do link por onde chegaste e coloca cookies publicitários da Google (_gcl_*) com duração até 90 dias. Quando concluis o formulário de registo, comunica essa única conversão ao Google Ads. A comunicação pode ser enviada a partir do teu navegador ou dos nossos próprios servidores; em qualquer dos casos contém o identificador de clique e a hora, e nada do que escreveste. Podes alterar ou retirar este consentimento a qualquer momento em «Preferências de cookies» no rodapé do site, ou em Privacidade na app; a retirada termina qualquer utilização futura.

7. Fornecedores de serviços e subcontratantes

Partilhamos dados pessoais com os terceiros abaixo estritamente para prestar o serviço. Cada um está vinculado por termos de proteção de dados. Esta lista pode mudar; vamos mantê-la atualizada.

Previsto (ainda não ativo): o rastreio de erros através do Sentry está integrado no nosso código, mas não está ativado em produção, pelo que hoje não trata dados pessoais. Se o ativarmos, atualizaremos esta secção; os relatórios de erro poderão então incluir o endereço IP, os cabeçalhos do pedido e os identificadores do utilizador afetado.

Produtos Mimos ligados. Se um dono de animal associar o seu perfil do Mimos Pets e autorizar a partilha, o negócio pode ver as secções do perfil que o dono escolheu partilhar (por exemplo, identidade, notas de grooming, comportamento, alergias, condições de saúde, medicação e vacinação). Esta partilha é controlada pela autorização do dono do animal no Mimos Pets e pode ser revogada aí.

Não vendemos dados pessoais nem os partilhamos para segmentação publicitária de terceiros. A comunicação com a Meta limita-se à medição e atribuição descritas acima e só é ativada com o teu consentimento.

8. Transferências internacionais de dados

A nossa infraestrutura aplicacional principal — servidores de aplicação, base de dados e tarefas em segundo plano — está alojada na União Europeia (Frankfurt). Ainda assim, alguns fornecedores podem tratar dados fora do país onde te encontras, incluindo nos Estados Unidos. Quando os dados são transferidos para fora do EEA/UK, baseamo-nos em salvaguardas adequadas, como as Standard Contractual Clauses da Comissão Europeia (e o UK Addendum quando relevante), ou na certificação de adequação/Data Privacy Framework de um fornecedor. Os detalhes das salvaguardas para uma transferência específica estão disponíveis mediante pedido em [email protected].

9. Conservação de dados

• Os dados de conta e de utilizadores da equipa são conservados enquanto a subscrição do negócio estiver ativa e por um período razoável depois disso, sendo depois eliminados ou anonimizados, sujeitos a obrigações legais de conservação (por exemplo, fiscais/contabilísticas).
• As fichas de clientes, animais, marcações, fotografias e vacinação são conservadas para o negócio (o responsável pelo tratamento) enquanto este as mantiver. Alguns registos usam eliminação suave (marcados como eliminados e ocultos, mas conservados) para que o histórico e os registos de marcações se mantenham consistentes; não são automaticamente apagados.
• Histórico de alterações / registo de auditoria. Por integridade e responsabilização, as alterações a registos importantes são versionadas num registo de auditoria e conservadas durante a vida da conta, salvo se apagadas.
• Os registos de mensagens são conservados como parte dos registos de comunicação do negócio.
• Encerramento / eliminação de conta. Quando uma conta de negócio é eliminada, os dados associados (pertenças, clientes, animais, marcações, serviços, convites, etc.) são removidos. Mediante pedido, eliminaremos ou devolveremos os dados de um negócio em conformidade com o nosso DPA e a lei aplicável.
• As cópias de segurança são conservadas durante uma janela rotativa limitada e depois substituídas; os pedidos de eliminação são honrados nos sistemas ativos de imediato e propagam-se à medida que as cópias de segurança são rotacionadas.

Se quiseres que documentemos um calendário de conservação específico, contacta-nos em [email protected].

10. Como protegemos os dados

• Encriptação em trânsito: HTTPS/TLS é imposto em toda a aplicação (HSTS/force_ssl em produção); os cookies são Secure e HttpOnly.
• Proteção de palavras-passe: as palavras-passe são codificadas com bcrypt (fator de trabalho 12) e nunca armazenadas ou registadas em texto simples.
• Acesso à API: o acesso programático usa bearer tokens armazenados apenas como um resumo HMAC-SHA256 com sal (o token em bruto nunca é persistido); os tokens podem ser revogados e expirados.
• Prevenção de abuso: limitação de taxa nos endpoints de início de sessão, registo, reposição de palavra-passe e OTP, e bloqueio de conta após repetidas tentativas falhadas de início de sessão.
• Higiene de registos: palavras-passe, tokens, OTPs e outros segredos são filtrados dos registos da aplicação.
• Isolamento de inquilinos: os dados de cada negócio estão logicamente segregados por conta.
• Controlo de acesso: permissões baseadas em funções (administrador/membro) e verificações de política controlam o acesso dentro de uma conta.
• Segurança da sessão móvel: a aplicação móvel armazena o seu token de sessão no armazenamento seguro do dispositivo (Keychain do iOS / Keystore do Android), protegido opcionalmente pela biometria do dispositivo quando a ativar; os dados biométricos nunca saem do seu dispositivo e são geridos inteiramente pelo sistema operativo.

Nenhum sistema é perfeitamente seguro, mas tomamos medidas técnicas e organizativas razoáveis e adequadas para proteger os dados pessoais e notificaremos as partes afetadas e os reguladores de uma violação de dados pessoais sempre que a lei o exija.

11. Os teus direitos

Sujeito à lei aplicável (como o GDPR e a LGPD), podes ter o direito de:

• Aceder aos dados pessoais que temos sobre ti e receber uma cópia.
• Retificar dados inexatos ou incompletos.
• Apagar os teus dados ("direito a ser esquecido") em determinadas circunstâncias.
• Limitar ou opor-te a determinado tratamento, incluindo o tratamento baseado em interesses legítimos e o marketing direto.
• Portabilidade dos dados — receber os teus dados num formato estruturado e legível por máquina.
• Retirar o consentimento a qualquer momento quando o tratamento se baseie no consentimento.
• Apresentar uma reclamação à tua autoridade local de proteção de dados ou de controlo.

Como exercer os teus direitos:

• Se a Mimos for o responsável pelo tratamento (os dados da tua conta/de utilizador da equipa), contacta-nos em [email protected]. Responderemos dentro do prazo exigido pela lei (um mês ao abrigo do GDPR, prorrogável). Podemos precisar de verificar a tua identidade.
• Se os teus dados foram introduzidos por um negócio de grooming (ou seja, és cliente desse negócio), contacta esse negócio — é ele o responsável pelo tratamento. Apoiá-lo-emos no cumprimento do teu pedido: a Mimos disponibiliza aos negócios ferramentas integradas para o efeito, incluindo uma exportação de dados por cliente num formato legível por máquina e um fluxo de eliminação em duas etapas.

12. Crianças

A Mimos destina-se a negócios e adultos. Não é dirigida a crianças e não recolhemos conscientemente dados pessoais de crianças. Se acreditas que uma criança forneceu dados pessoais, contacta-nos e iremos eliminá-los.

13. Decisões automatizadas

Não usamos os dados pessoais aqui descritos para tomar decisões que produzam efeitos jurídicos ou de modo semelhante significativos sobre ti exclusivamente por meios automatizados.

14. Alterações a esta política

Podemos atualizar esta política para refletir alterações no produto, nos nossos fornecedores ou na lei. Publicaremos a versão atualizada com uma nova data de "Última atualização" e, para alterações materiais, daremos um aviso adicional (por exemplo, na aplicação ou por email). A utilização continuada após a data de entrada em vigor constitui aceitação, quando permitido por lei.

15. Contacta-nos

Questões, pedidos ou reclamações sobre privacidade: