Política de privacidade

1. Âmbito e responsável

Genius Nutrition S.R.L. opera a aplicação Portugal SDR Deposits. O comerciante determina as finalidades do tratamento dos dados da sua loja e respetivas encomendas; o operador atua como prestador/processador para esse tratamento e como responsável pelos seus próprios dados de conta, faturação e suporte. A aplicação é independente e não é o operador oficial do sistema SDR português.

2. Dados tratados

Tratamos o domínio da loja; credenciais OAuth e dados da sessão Shopify, incluindo identificadores, nome, e-mail e idioma do utilizador do comerciante quando a Shopify os fornece; estado da subscrição; configuração do depósito; variantes selecionadas; identificadores Shopify de encomendas e linhas; EAN; nomes de produtos; SKU; quantidades; e referências de prova introduzidas pelo comerciante. Não solicitamos nem armazenamos nomes, e-mails, telefones, moradas ou dados de pagamento dos clientes das encomendas.

Os payloads brutos de webhooks não são armazenados. Conservamos apenas um resumo SHA-256 e metadados mínimos de entrega para evitar processamento duplicado.

A referência de prova é um campo livre para identificadores de documentos do comerciante. Não introduza nomes, contactos ou outros dados pessoais de clientes nesse campo.

Guardamos uma preferência de idioma estritamente necessária num cookie e no armazenamento local do navegador durante até um ano, para manter a interface no idioma escolhido.

3. Finalidades e fundamento

Os dados são utilizados apenas para autenticar a instalação, aplicar a configuração escolhida pelo comerciante, sincronizar linhas elegíveis, produzir relatórios mensais, executar pedidos de privacidade e prestar suporte. O tratamento é necessário para fornecer o serviço solicitado pelo comerciante e cumprir obrigações aplicáveis.

4. Conservação

Snapshots de encomendas são eliminados após 90 dias e recibos técnicos de webhooks após 30 dias. Exportações de pedidos de dados ficam disponíveis durante 30 dias. Sessões OAuth e dados de configuração permanecem durante a instalação ativa e são eliminados após desinstalação ou pedido aplicável. Relatórios agregados e referências de prova sem campos de perfil do cliente permanecem como registos do comerciante até eliminação da conta ou pedido aplicável.

5. Prestadores e transferências

Shopify fornece a plataforma, autenticação, faturação e dados da loja. Railway fornece alojamento e base de dados. Estes prestadores podem tratar dados fora do Espaço Económico Europeu segundo os respetivos termos e mecanismos de transferência aplicáveis.

6. Segurança

Usamos HTTPS, autenticação Shopify, verificação HMAC de webhooks, segregação por loja, controlo de acesso no servidor, minimização e eliminação programada. A Railway declara encriptação das bases de dados em repouso e transporte protegido por TLS/SSL e WireGuard. Nenhuma medida elimina todos os riscos.

7. Direitos e contacto

Os clientes devem contactar primeiro o comerciante Shopify que controla a respetiva encomenda. O comerciante ou titular dos dados pode enviar pedidos de acesso, correção, eliminação, limitação ou oposição para gdpr@obsedia.ai. Também pode apresentar reclamação à autoridade de controlo competente.