Política de privacidade

1. Quem é o responsável

O responsável pelo tratamento é La Miga, com sede em Loulé, Portugal.

Para qualquer questão de privacidade escreva para [email protected]. Respondemos dentro do prazo legal de um mês.

2. Que dados tratamos e para quê

Pedimos apenas o que a entrega precisa:

• Dados de contacto (nome, apelido, telefone, email): para identificar a encomenda, combinar a entrega e enviar-lhe o link de seguimento.
• Morada e localização no mapa (rua, localidade, código postal e as coordenadas do ponto que marca): é o que o estafeta usa para encontrar a sua porta. Marcar o ponto é voluntário, mas sem ele não conseguimos entregar.
• Detalhe da encomenda (produtos, recheios, valor, horário escolhido e notas de entrega).
• Consentimento de marketing: se assinalar a caixa, guardamos que disse que sim e o momento exato em que o fez.

Não pedimos dados de pagamento: paga na entrega, só em numerário, pelo que nunca passam por este site.

Não tratamos categorias especiais de dados. Se escrever uma alergia ou preferência alimentar nas notas de entrega, fica guardada como parte da encomenda — pedimos que não inclua aí informação de saúde além do estritamente necessário.

3. Com que fundamento legal

• Execução do contrato (art. 6.º/1/b RGPD): tratar os seus dados de contacto, morada e encomenda para a preparar e entregar. Sem isto não há encomenda.
• O seu consentimento (art. 6.º/1/a RGPD): apenas para a newsletter e promoções. É opcional, a caixa está desmarcada por defeito e pode retirá-lo quando quiser sem afetar as suas encomendas.
• Obrigação legal (art. 6.º/1/c RGPD): conservar os registos de faturação exigidos pela lei fiscal portuguesa.
• Interesse legítimo (art. 6.º/1/f RGPD): prevenir encomendas fraudulentas e manter o serviço a funcionar. Avaliámos que este interesse não se sobrepõe aos seus direitos, por se limitar a dados que já temos da encomenda.

4. Marketing: como funciona o sim e o não

A caixa "quero receber novidades e promoções" está desmarcada por defeito e é totalmente independente da encomenda: pode comprar sem a assinalar e nunca lhe vamos exigir que a assinale para poder comprar.

Se a assinalar, guardamos o seu email com a data e hora do consentimento, que é o que a lei nos exige poder demonstrar. Escrevemos-lhe no máximo uma vez por semana, normalmente terça ou quarta-feira para lembrar que a série fecha na quinta.

Para cancelar: clique no link no rodapé de qualquer email, ou escreva para [email protected]. É imediato e não afeta as suas encomendas nem os seus selos de fidelidade.

5. Quem mais vê os seus dados

Não vendemos nem cedemos os seus dados. Para que a encomenda funcione trabalhamos com um número reduzido de fornecedores, que tratam os seus dados apenas por nossa conta, segundo as nossas instruções e ao abrigo de um contrato de subcontratante (art. 28.º RGPD):

• O nosso fornecedor de alojamento — mantém o site e a base de dados onde fica a sua encomenda. Servidores na UE.
• O nosso fornecedor de email — envia os avisos da encomenda e o link de acesso à sua conta.
• A nossa ferramenta de estatísticas — mede a utilização do site de forma agregada e anónima. Não recebe qualquer dado pessoal seu (ver secção 8).

Em separado, o mapa do checkout carrega as suas imagens do fornecedor cartográfico que utilizamos. Não é um subcontratante nosso e não lhe enviamos dados seus: ao carregar as imagens, o seu IP chega aos servidores deles, como em qualquer mapa incorporado.

Se quiser saber exatamente que empresa presta cada um destes serviços, escreva-nos e dizemos-lhe.

Podemos ainda comunicar dados à administração fiscal ou às autoridades quando a lei o exija.

6. Transferências fora da UE

Os nossos servidores e bases de dados estão na UE. Alguns fornecedores são empresas norte-americanas que podem tratar dados fora do Espaço Económico Europeu; nesses casos a transferência assenta nas Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia ou no EU–US Data Privacy Framework.

A nossa ferramenta de estatísticas aloja e trata os dados inteiramente na UE, sem transferências.

7. Durante quanto tempo os guardamos

• Encomendas e dados de entrega: enquanto for cliente ativo e até 3 anos após a última encomenda, para podermos tratar reclamações e manter o programa de fidelidade.
• Registos de faturação: 10 anos, por exigência da lei fiscal portuguesa.
• Consentimento de marketing e email: até cancelar, mais 3 anos apenas o registo do cancelamento, como prova de que o respeitámos.
• Sessão da conta: 30 dias desde o último acesso.
• Links de acesso por email: 15 minutos, destruídos na primeira utilização.

Findos esses prazos, apagamos ou anonimizamos.

8. Cookies e armazenamento no seu dispositivo

Este site não usa cookies de publicidade nem de rastreio, e por isso não verá um banner de cookies. Não é esquecimento: não há nada a consentir.

As nossas estatísticas vêm de uma ferramenta sem cookies: não guarda nem lê nada no seu dispositivo, não usa identificadores persistentes nem fingerprinting, e não o consegue seguir entre sites. Apenas conta visitas e eventos de forma agregada e anónima (página vista, encomenda confirmada, valor). Por não armazenar informação no seu equipamento, fica fora do art. 5.º/3 da Diretiva ePrivacy e não exige consentimento prévio.

Usamos, sim, o armazenamento local do navegador para o estritamente necessário, que nunca sai do seu dispositivo a menos que confirme a encomenda:

• lamiga:cart:v1 — o seu carrinho, para não se perder se fechar o separador.
• lamiga:profile:v1 — os seus dados de entrega, para não os reescrever da próxima vez.
• lamiga:session — o token da sua sessão, caso tenha entrado com o link mágico.

Pode apagá-los quando quiser nas definições do navegador, ou com o botão abaixo.

9. Os seus direitos

O RGPD dá-lhe estes direitos, e exercê-los é gratuito:

• Acesso: pedir-nos uma cópia de tudo o que temos sobre si.
• Retificação: corrigir o que estiver errado. Também o pode fazer sozinho, entrando na sua conta.
• Apagamento ("direito a ser esquecido"): que apaguemos os seus dados, exceto os que a lei fiscal nos obriga a conservar.
• Portabilidade: levar os seus dados num ficheiro legível por máquina.
• Oposição e limitação: opor-se a um tratamento ou pedir que o congelemos enquanto se resolve uma divergência.
• Retirar o consentimento de marketing a qualquer momento, sem invalidar o que fizemos antes de o retirar.

Escreva para [email protected] a partir do email com que encomendou e resolvemos dentro do mês.

Se considerar que não o tratámos bem, pode reclamar junto da Comissão Nacional de Proteção de Dados (CNPD), a autoridade de controlo portuguesa: www.cnpd.pt.

10. Segurança

Tudo viaja cifrado por HTTPS. Os tokens de sessão e os links de acesso são guardados com hash, nunca em claro. O acesso à base de dados é restrito e o site nunca vê as chaves das APIs com que falamos.

Não usamos palavras-passe: a sua identidade vem de um link de utilização única enviado para o seu email.

11. Menores

O serviço destina-se a maiores de 18 anos. Não recolhemos dados de menores conscientemente; se detetarmos algum, apagamo-lo.

12. Alterações

Se alterarmos algo substancial, atualizamos a data no rodapé e, quando a alteração realmente o afetar, avisamos por email antes de a aplicar.