Esta política explica que dados pessoais a Torqua trata como responsável pelo tratamento, para quê, com que fundamento e durante quanto tempo. Os dados que uma oficina guarda sobre OS SEUS clientes (fichas, veículos, marcações, faturas…) são tratados pela Torqua por conta dessa oficina: o responsável é a oficina, e regem-se pelo Acordo de subcontratação. Se for cliente de uma oficina e quiser exercer os seus direitos sobre esses dados, dirija-se à oficina; se nos escrever a nós, faremos chegar o pedido à oficina.
1. Responsável pelo tratamento
- Titular: Roberto Joao Tiron Tiron — NIF 43945647F
- Sede: Calle Luis Alberdi 11 8E, 09007, Burgos, Espana
- E-mail para privacidade: info@torqua.app
- Encarregado da proteção de dados: não existe. Não é obrigatório para a Torqua: não é nenhuma das entidades enumeradas no artigo 34.º da Lei Orgânica espanhola 3/2018, nem trata em grande escala categorias especiais de dados (art. 37.º RGPD). Qualquer questão deve ser enviada para o e-mail de privacidade.
2. Que dados tratamos, para quê e com que fundamento
| Quem | Que dados | Para quê | Fundamento jurídico (RGPD art. 6.º) |
|---|---|---|---|
| Quem trabalha numa oficina (proprietário, receção, mecânicos) | Nome, e-mail, palavra-passe (cifrada, nunca em texto simples), fotografia se a carregar, idioma, função, segundo fator se o ativar | Dar-lhe acesso ao painel e às funções da sua função | Execução do contrato com a oficina (6.1.b) e o seu interesse legítimo em que a equipa possa trabalhar (6.1.f) |
| A oficina como cliente da Torqua | Denominação social, NIF, morada, e-mail e dados do plano | Cobrar a subscrição e emitir as faturas | Contrato (6.1.b) e obrigação legal (6.1.c) |
| A oficina como cliente da Torqua | Cartão ou outro meio de pagamento | Cobrar | Contrato (6.1.b). Os dados do cartão são recebidos diretamente pela Stripe; a Torqua não os vê nem os guarda, apenas a marca, os últimos quatro dígitos e a validade |
| Quem tem conta no portal (My Torqua) | E-mail, nome, palavra-passe (cifrada) ou conta Google/Microsoft, fotografia de perfil se a carregar, idioma | Permitir-lhe entrar e ver o seu histórico com cada oficina de que é cliente | Contrato (6.1.b): as condições aceites ao criar a conta |
| Qualquer pessoa que use o serviço | Endereço IP, navegador, data e hora das entradas e das ações de eliminação e de suporte | Segurança: detetar acessos indevidos, avisar de novas entradas, travar abusos e reconstituir o que aconteceu perante um incidente | Interesse legítimo na segurança do serviço (6.1.f; considerando 49) |
| Quem escreve à Torqua | O que nos conta e o seu e-mail | Responder | Interesse legítimo (6.1.f) ou, se já for cliente, o contrato |
| Quem usa o Assistente de IA no painel | O que lhe pergunta e o que ele responde | Que a pessoa possa voltar a consultá-lo e que o administrador da oficina veja o que se fez com ele | Contrato com a oficina (6.1.b) e interesse legítimo em poder rever o que fez uma ferramenta automática (6.1.f) |
| Quem responde STOP a um WhatsApp da Torqua | O seu número de telemóvel e quando o pediu | Não voltar a enviar-lhe avisos de nenhuma oficina, porque o número remetente é o mesmo para todas | Obrigação de respeitar a sua oposição (6.1.c, art. 21.º) |
| Quem aceita estas condições ou as do portal | Que versão aceitou, quando e a partir de que endereço IP | Poder demonstrar o que foi aceite em caso de desacordo | Obrigação de o comprovar (6.1.c, art. 7.1) e interesse legítimo em defender-se (6.1.f) |
Não fazemos perfis comerciais, não vendemos dados e não há publicidade no produto. Não há análise de terceiros no site nem no painel.
Nenhuma decisão com efeitos jurídicos é tomada de forma automatizada (art. 22.º RGPD). O Assistente de IA do painel limita-se a propor, e uma pessoa da oficina confirma. Se uma oficina ativar a resposta automática de WhatsApp, essas respostas vêm identificadas como escritas por uma IA (art. 50.º do Regulamento europeu da Inteligência Artificial) e não decidem nada a seu respeito: para tudo o que importa, a oficina responde-lhe pessoalmente.
3. A conta do portal e as oficinas
A conta do portal é uma só para todas as oficinas, mas cada oficina só vê o que o seu cliente tem com ela. Criar a conta não dá a nenhuma oficina acesso aos seus dados: a ligação a uma oficina só se cria quando existe uma relação real (pede uma marcação, ou já era cliente da oficina com esse mesmo e-mail). O histórico com uma oficina nunca se mistura com o de outra.
Os seus avisos, oficina a oficina. Na página de cada oficina no seu portal pode dar ou retirar a autorização para que lhe envie avisos por WhatsApp e deixar de receber os lembretes da inspeção (ITV) e da revisão. Cada lembrete inclui ainda uma ligação para cancelar a subscrição sem iniciar sessão. Os avisos das suas marcações, orçamentos e faturas não se podem desativar enquanto tiver algo em curso com essa oficina: fazem parte do serviço que lhe pediu.
Se responder STOP a um WhatsApp da Torqua, deixará de os receber de todas as oficinas, porque o número é o mesmo. Para voltar a recebê-los, responda nessa mesma conversa.
4. Durante quanto tempo
| O quê | Quanto tempo |
|---|---|
| Contas do painel e do portal | Enquanto estiverem ativas. Ao serem eliminadas, apagam-se |
| Dados de uma oficina que cancela ou é eliminada | 30 dias de carência para voltar atrás; depois, apagam-se |
| Cópias de segurança | 30 dias; estão cifradas |
| Registos de entradas, acessos do suporte e auditoria | 24 meses |
| Registos técnicos | 12 meses |
| Avisos e notificações já enviados | 90 dias |
| Conversas com o Assistente de IA | 90 dias |
| Números que pediram STOP no WhatsApp | Enquanto não pedirem para voltar a recebê-los |
| Ligações de utilização única caducadas (recuperar a palavra-passe, convites, aprovações) | 30 dias após caducarem |
| Faturas que a Torqua emite à oficina | 6 anos (Código de Comércio espanhol, art. 30.º), bloqueadas: só se usam se a oficina ou uma autoridade as pedir |
| Registo das condições aceites | Enquanto durar a relação e mais 6 anos, que é o prazo em que se pode reclamar |
5. Com quem são partilhados
Apenas com os fornecedores necessários para prestar o serviço. Quase todos tratam os dados por conta da Torqua, com o respetivo contrato de subcontratação. A Stripe, a Google e a Microsoft são responsáveis por conta própria pelo que lhes diz respeito: a Stripe, pela cobrança e pela prevenção da fraude; a Google e a Microsoft, pelo início de sessão com a sua conta, se o escolher.
| Fornecedor | Para quê | Onde |
|---|---|---|
| Supabase | Base de dados, início de sessão e armazenamento de fotografias | UE (Alemanha) |
| Render | Servidor da aplicação | UE (Frankfurt) |
| Cloudflare | Alojamento dos sites, rede de distribuição, verificação anti-robôs (Turnstile) e cópias de segurança cifradas | Rede global; as cópias, na UE |
| Stripe | Cobrança da subscrição e dos carregamentos do saldo | UE (Irlanda) / EUA |
| Resend | Envio de e-mails | EUA |
| GitHub | Cópias de segurança cifradas | EUA |
| Sentry (Functional Software) | Registo dos erros da aplicação, para os corrigir. Recebe o erro sem os dados da pessoa: e-mails, matrículas, telefones, documentos de identificação e endereços IP são ocultados antes do envio | UE (Alemanha) |
| Anthropic | Assistente de IA do painel, rascunhos de resposta aos WhatsApp dos clientes e tradução do site da oficina, apenas se a oficina os tiver ativos. Não treina com estes dados e apaga-os no prazo de 30 dias | EUA |
| Meta Platforms (WhatsApp) | Avisos por WhatsApp a quem deu a sua autorização, e as mensagens que essa pessoa escreve para esse número. Atua como subcontratante, guarda as mensagens 30 dias no máximo e não as usa para publicidade | UE / EUA |
| APIVehículo | Ficha técnica do veículo a partir da matrícula; recebe apenas a matrícula, sem nome nem qualquer outro dado da pessoa | Espanha |
| NHTSA (vPIC, administração dos EUA) | Descodificar um número de quadro (VIN) de fora de Espanha e Portugal; é um serviço público e aberto que recebe apenas o VIN, sem nenhum outro dado | EUA |
| Google, Microsoft | Início de sessão com a sua conta, apenas se a pessoa o escolher | EUA |
Quando um fornecedor trata dados fora do Espaço Económico Europeu, a transferência tem a sua garantia:
- Quadro de Privacidade de Dados UE-EUA (Decisão (UE) 2023/1795): Cloudflare, Resend, GitHub, Stripe, Google e Microsoft.
- Cláusulas contratuais-tipo da Comissão (Decisão (UE) 2021/914): Supabase, Render, Anthropic e Sentry.
- A adenda de transferências da Região Europeia da Meta, para o WhatsApp.
A base de dados e o servidor da aplicação estão na União Europeia.
Além disso, quando a lei o exigir: à Agência Tributária espanhola (as faturas da oficina são-lhe enviadas com o VERI*FACTU porque é uma obrigação da oficina, não da Torqua), a juízes e a autoridades.
6. Os seus direitos
Pode pedir acesso, retificação, apagamento, oposição, limitação do tratamento e portabilidade escrevendo para info@torqua.app. Responderemos no prazo de um mês fixado pelo RGPD, prorrogável por mais dois se o pedido for complexo, com aviso prévio. Se não concordar com a resposta, pode apresentar reclamação à autoridade do seu país: em Espanha, a Agencia Española de Protección de Datos (www.aepd.es); em Portugal, a Comissão Nacional de Proteção de Dados (www.cnpd.pt).
Parte pode fazer-se a partir do próprio produto: alterar os seus dados e a sua fotografia, eliminar a sua conta do portal no próprio portal, ou descarregar os clientes e o inventário da oficina. Se trabalhar numa oficina e quiser eliminar a sua conta do painel, peça-o ao respetivo administrador ou escreva-nos.
O que se pode apagar e o que não
Quase tudo se apaga de verdade. O que não, e porquê:
- As faturas e os seus registos fiscais: a lei obriga a guardá-las (seis anos em Espanha, dez em Portugal). Ficam bloqueadas e o direito ao apagamento não se lhes aplica (art. 17.3.b RGPD).
- O que já saiu da Torqua: um e-mail ou um WhatsApp que já recebeu, ou um registo que já está na Agência Tributária espanhola.
- O que a Stripe guarda de um pagamento: é responsável por conta própria e tem as suas próprias obrigações.
- O seu número, se pediu BAIXA (BAJA) do WhatsApp: é a única coisa que impede que lhe voltem a escrever. Apaga-se se pedir para voltar a receber (ALTA).
- As cópias de segurança: não se editam uma a uma; o que foi apagado desaparece delas ao caducarem, no prazo de 30 dias.
7. Segurança
Os dados circulam cifrados (TLS) e guardam-se cifrados em repouso. Cada oficina está isolada das restantes na própria base de dados, e não apenas na aplicação. As palavras-passe não se guardam em texto simples, o acesso de administração admite segundo fator e o acesso da equipa de suporte a uma oficina fica registado.
8. Alterações
Se esta política mudar em algo que lhe diga respeito, avisaremos antes por e-mail ou no produto.