Saltar para o conteúdo
Criar Balcão

Política de privacidade

Última actualização: 22 de outubro de 2026 (o que mudou, na secção 8).

Em poucas linhas. Para teres cartão basta uma forma de entrar (o email, a Google, a Apple ou uma passkey), ou nem isso: na página de aderir, só o cartão, sem conta. Não te pedimos o nome nem o telemóvel; se os puseres no Perfil, vêem-nos ao balcão os negócios onde tens cartão, e desligas em cada um. Cada negócio vê as tuas visitas, os carimbos, os prémios e o nível do cartão dele, e mais nada da tua vida noutros negócios. Os negócios onde tens cartão podem mandar-te promoções na app e no verso do cartão na carteira do telemóvel, até uma por semana, e desligas quando quiseres. Não há anúncios de mais ninguém, nem estatísticas de quem visita, nem cookies que não sejam os de entrar na conta. Descarregas tudo e apagas tudo no Perfil, quando quiseres.

1. Quem é responsável

O Carimbo Digital é prestado por Carimbo Digital — Renato Lima Valente, NIF 273363620, com morada em Rua António Sérgio 63, 3700-047 São João da Madeira. Para tudo o que tenha que ver com os teus dados escreve para geral@carimbodigital.pt, ou liga para +351 925 110 570 (chamada para a rede móvel nacional).

Há duas camadas, e convém saber qual é qual:

2. Que dados tratamos, para quê, e com que fundamento

A conta e as formas de entrar

O quê Para quê Fundamento
O teu código de cliente (8 letras e algarismos, feito ao acaso) e o código QR que muda, no separador «Código» Identificar-te ao balcão, como um cartão de papel. Contrato (RGPD, art. 6.º, n.º 1, al. b)
O email com que entras, e os códigos que te mandamos por ele Entrares na conta, também noutro telemóvel. Guardamos um resumo de cada código, e nunca o código. Contrato
A conta da Google ou da Apple com que entras O mesmo, por outra porta. Recebemos um identificador da conta e, se a Google ou a Apple o derem, o email. Não pedimos o nome nem a fotografia. A Apple pode dar-nos uma morada de reencaminhamento dela em vez do teu email. Da Apple guardamos também, cifrado, o código que ela nos dá quando entras, só para lhe pedirmos que desligue o Carimbo Digital do teu ID Apple quando tirares essa forma de entrar ou apagares a conta. Contrato
As passkeys Entrar com o Face ID ou a impressão digital. Guardamos a parte pública da chave e o nome que lhe deres; a parte secreta nunca sai do teu aparelho ou do teu porta-chaves. Contrato
As sessões: em que aparelho entraste (por exemplo, «Safari · iPhone»), quando, e por onde Manter-te dentro, e mostrar-te no Perfil onde tens sessão, para a poderes terminar. Contrato
Uma conta sem forma de entrar («Só o cartão, sem conta», na página de aderir), e quando nasceu Teres o cartão sem entrar. A única chave dela é a sessão desse browser: sem ela, não há como voltar à conta (o passe na carteira do telemóvel continua a carimbar). Entrar nesse browser com o email, a Google, a Apple ou uma passkey junta os cartões à conta com que entras, e a conta sem conta deixa de existir. Contrato
A tua resposta a «Tens 18 anos ou mais?»: sim, não, ou ainda sem resposta Só se calcula o ritmo das visitas (abaixo) a quem responde que sim. Não pedimos a data de nascimento, e nenhum negócio vê a resposta. Interesse legítimo (art. 6.º, n.º 1, al. f): não calcular o ritmo das visitas a menores

Juntar contas. Se duas contas provarem a mesma caixa de email (um código que recebeste nela, ou uma conta Gmail ou iCloud com essa morada), juntamo-las numa só, com os cartões e os carimbos das duas, e avisamos-te por email (se tivermos um). Os cartões sem conta de um browser juntam-se, da mesma maneira, à conta com que entras nesse browser. No Perfil, em «Formas de entrar», podes juntar à mesma conta o email, a Google, a Apple e passkeys, e tirar as que não quiseres.

O teu código de cliente é o mesmo em todos os negócios. É ele que a equipa escreve à mão quando a câmara não lê. Por isso, dois negócios que o anotassem podiam perceber que és a mesma pessoa. O teu número de cliente em cada negócio, esse, é diferente em cada um.

Os cartões e o livro dos carimbos

Em cada negócio onde tens cartão guardamos, por conta dele: o teu número de cliente lá, quando e por onde aderiste, cada carimbo, prémio, entrega e anulação (o livro do cartão: o dia, a hora, a loja, e quem da equipa o fez), e a alcunha que a equipa te der. O primeiro carimbo dado ao balcão também cria o cartão, mesmo sem teres aderido antes na app.

O nível e as regras pelas visitas. Se o cartão tiver níveis, o teu nível sai das tuas visitas: vês qual é no cartão e no passe, e a equipa vê-o na tua ficha. As regras que o negócio escolher pelas visitas — o carimbo a dobrar para quem chega, para quem volta depois de 30 dias sem vir, ou para quem tem um nível — aplicam-se ao balcão, na hora do carimbo. Fundamento: o contrato entre ti e o negócio (o programa de fidelização).

A alcunha («a Joana da manhã») é escrita pela equipa, para te reconhecer. Vês qual é no teu cartão. Não a podes apagar tu: para a mudar ou tirar, pede ao negócio (ou a nós, e passamos o pedido). Quando a equipa anula um carimbo, escreve uma nota a dizer porquê, e essa nota vai na exportação dos teus dados.

Traz um amigo. Se o negócio o ligou, o teu cartão tem um convite para partilhares (a ligação leva a referência do teu cartão, assinada por nós). Quando alguém adere por ele, guardamos que foi pelo teu convite e, no 1.º carimbo dessa pessoa ao balcão, damos a cada um os carimbos de oferta que o negócio escolheu. O negócio vê a oferta no livro de cada cartão, e que o cartão novo chegou por um convite, mas não lhe dizemos de quem. Fundamento: o contrato entre ti e o negócio (o programa de fidelização). Vai na exportação dos teus dados, e apaga-se com a conta. Se apagares só o cartão, fica apenas que já vieste por um convite a esse negócio, sem os carimbos: a oferta dá-se uma vez a cada pessoa (fundamento: o interesse legítimo de que não se repita). Se foste tu a convidar, o teu amigo fica com os carimbos que lhe prometemos, mas sem a ligação a ti.

Mensagens dos negócios. Um negócio onde tens cartão pode mandar-te, pelo Carimbo Digital, promoções e novidades dele: na caixa de avisos e nas notificações da app, no máximo uma por semana, e só se disseste na app que tens 18 anos ou mais. Umas escreve-as o negócio na hora; outras saem sozinhas, se o negócio as ligar: no dia a seguir à tua 1.ª visita, quando passas uns tempos sem vir (30, 60 ou 90 dias, à escolha do negócio, e nunca se desligaste o ritmo das visitas) e quando sobes de nível. Contam todas para a de cada semana, e as que saem sozinhas só te chegam depois de o cartão te mostrar o texto do que o negócio vê, que as anuncia (abaixo). E, se as ligaste com um texto que o diz, a última fica também no verso do cartão na carteira do telemóvel durante 7 dias, sem notificação nenhuma; desligar as mensagens tira-a de lá.

Nos cartões a que aderires a partir de 16 de outubro de 2026 vêm ligadas: a página de aderir mostra o interruptor «Receber mensagens de …», com o nome do negócio, já ligado e com este texto por baixo, e desligas ali mesmo, antes de aderir (num cartão sem conta, vêm desligadas):

O negócio pode mandar-te promoções e novidades na app e no verso do cartão na carteira do telemóvel, até uma por semana (algumas saem sozinhas, pelas tuas visitas). Se não quiseres, desliga aqui, ou mais tarde no cartão.

Versão do texto: mensagens-aderir-2026-10b.

No cartão e no Perfil, ligá-las mostra este texto, e pede um toque:

O negócio manda-te promoções e novidades pelo Carimbo Digital: na caixa de avisos e nas notificações da app, e no verso do cartão na carteira do telemóvel. Algumas saem sozinhas: no dia a seguir à 1.ª visita, quando passas uns tempos sem vir, ou quando sobes de nível. No máximo uma por semana, e nunca entre as 21:00 e as 9:00. Desligas aqui quando quiseres.

Versão do texto: mensagens-2026-10b.

Fundamento: o interesse legítimo do negócio em dar a conhecer o que vende aos seus clientes (RGPD, art. 6.º, n.º 1, al. f), e considerando 47), nos termos em que a Lei n.º 41/2004 o permite a quem já é cliente (art. 13.º-A, n.º 3): a recusa oferece-se ao aderir e em cada mensagem. Nos cartões de antes, só as recebes se as ligares, no cartão ou no Perfil, e aí o fundamento é o teu consentimento. Escolher pelas tuas visitas a quem sai uma das que saem sozinhas é uma definição de perfis para marketing: opões-te desligando as mensagens desse negócio, ou, para a de quem passa uns tempos sem vir, o ritmo das visitas (RGPD, art. 21.º, n.º 2 e 3). Num caso e no outro, desligas quando quiseres, com um toque, no cartão ou no Perfil, e cada mensagem diz onde. Guardamos cada vez que ligaste ou desligaste, ou aderiste com elas ligadas, e com que texto, e o dia da última que recebeste de cada negócio (para a de cada semana); o negócio não sabe quem as recebe, só quantos. Vai na exportação dos teus dados.

No Perfil guardamos ainda a ordem em que arrumaste os cartões na Carteira. Fundamento: o contrato, na tua conta; e, no que é de cada negócio, o contrato entre ti e ele (o programa de fidelização) e o interesse dele em gerir o programa.

Quando o serviço para os negócios passar a ser pago, contamos, por instrução de cada negócio, quantos clientes ele tem, para aplicar o plano dele (os termos, secção 3). Da contagem fica só o número e a data: nenhum dado teu entra na facturação.

O contacto que partilhas com cada negócio

No Perfil podes escrever um nome, um telemóvel e um email de contacto («O teu contacto para os negócios»). Só os vê, ao balcão, a equipa de um negócio com a partilha ligada, e só enquanto a deixares ligada. O interruptor diz «Mostrar o meu nome, telemóvel e email a cada negócio», e é negócio a negócio: no cartão, no Perfil e na página de aderir. Ao ligá-lo, o texto que mostramos é este:

Se ligares, a equipa de cada negócio vê ao balcão o nome, o telemóvel e o email que puseres no Perfil — e só esses. É para falarem contigo sobre o teu cartão; publicidade, só com uma autorização tua à parte. Deixas de os mostrar quando quiseres, com um toque, no cartão ou no Perfil.

Versão do texto: contacto-2026-09.

Desde 16 de outubro de 2026, escrever o contacto também liga a partilha. Quem o escreve (tinha-o vazio) lê por baixo dos campos o primeiro texto abaixo; ao gravar, o contacto passa a mostrar-se nos negócios onde já tem cartão e onde nunca ligou nem desligou a partilha. Nos que aderir depois, a página de aderir traz o interruptor ligado, com o segundo texto, e desliga-se ali:

Os negócios onde tens cartão vêem-no ao balcão, só para falar contigo sobre o cartão. Desligas em cada um, no cartão ou em Perfil › Negócios.

A equipa de cada negócio vê-o ao balcão, só para falar contigo sobre o cartão. Se não quiseres, desliga aqui.

Versão do texto: contacto-perfil-2026-10.

Quem o escreveu antes dessa data leu que escrevê-lo não o mostrava a ninguém, e fica assim: só o vê o negócio a quem ligar a partilha.

Fundamento: o teu consentimento (RGPD, art. 6.º, n.º 1, al. a)), dado negócio a negócio, ou ao escreveres o contacto com o texto acima. Guardamos a prova de cada vez que a partilha se ligou ou desligou, com a versão do texto, enquanto tiveres a conta. Desligar corta no servidor na hora. Cada vez que alguém da equipa vê o teu contacto, fica registado, e vês em que dias na exportação dos teus dados. Depois de o ver, o negócio responde pelo uso que lhe der, e só o pode usar para falar contigo sobre o cartão: publicidade, só com uma autorização tua à parte, dada a esse negócio.

O painel do negócio, o ritmo das visitas e o direito de te opores

Cada negócio tem um painel com os números do cartão e a lista dos seus clientes. É isto que dizemos na app, ao aderires, no cartão e na exportação dos teus dados, com «cada negócio» no lugar do nome dele:

O que cada negócio vê. O teu número de cliente aqui, quando e por onde aderiste ao cartão, as tuas visitas (dia, hora e loja), os carimbos, os prémios, o teu nível (num cartão com níveis) e a alcunha que a equipa te der. Com isso, o painel junta os clientes em grupos, como os que vieram uma vez, os que mais vêm ou os que estão a 1 ou 2 carimbos do prémio. Se o negócio ligar o ritmo das visitas, calcula também de quanto em quanto tempo vens, e mostra se passaste muito desse tempo sem voltar — só se disseste na app que tens 18 anos ou mais. É o interesse do negócio em gerir o programa: reconhecer-te quando voltas e saber se o cartão funciona. As visitas contam também no cartão: dão o nível, e as regras que o negócio escolher, como o carimbo a dobrar para quem chega ou para quem volta. E, se recebes as mensagens deste negócio, algumas saem sozinhas: no dia a seguir à 1.ª visita, quando passas uns tempos sem vir (nunca se desligaste o ritmo) e quando sobes de nível — no máximo uma por semana, contando todas. Se a equipa anula um carimbo teu, escreve porquê (vês essa nota na exportação dos teus dados); e se abre a tua ficha no painel, fica registado (uma vez por pessoa e por dia), e vês em que dias. O nome, o telemóvel e o email só se mostram ao balcão se ligares a partilha. O email com que entras na app e os teus cartões de outros negócios, nunca. Se apagares a conta, sai tudo isto; ficam só as contagens de cada dia, sem dizer de quem.

O ritmo das tuas visitas. «Contar o ritmo das minhas visitas em cada negócio». Se desligares, o negócio não o calcula, as tuas visitas contam só como visitas, e não te chega a mensagem de quando passas uns tempos sem vir. Mudas quando quiseres, aqui ou no Perfil.

Versão do texto: ritmo-2026-10d.

O ritmo e os grupos só se calculam num negócio que os tenha ligado no painel, depois de adoptar a avaliação do interesse legítimo e a avaliação de impacto que lhe damos; e só se tiveres respondido na Carteira que tens 18 anos ou mais, depois de te mostrarmos este texto para esse negócio. Num negócio que não os ligou, ou se não respondeste que sim, as tuas visitas contam só como visitas.

Fundamento: o interesse legítimo do negócio em gerir o programa (RGPD, art. 6.º, n.º 1, al. f). Tens o direito de te opores (art. 21.º): no Perfil › Negócios, desligas o ritmo em todos os negócios de uma vez (os de agora e os que vierem); em cada cartão, só nesse negócio. Desligado, deixa de se calcular o teu ritmo, na hora, o que havia apaga-se, e não te pedimos razões. Os números de cada dia (quantas visitas, quantos carimbos, quantos prémios) contam-se por negócio e por loja, e mostram-se com regras para que ninguém se reconheça neles (por exemplo, «menos de 3» em vez do número exacto). Esses números ficam depois de apagares a conta, sem dizer de quem são, mas não lhes chamamos anónimos: são contagens de um negócio concreto.

Os passes nas carteiras da Apple e da Google

Se carregares em «Adicionar à Carteira Apple» ou «Adicionar a Carteira do Google», o cartão passa a estar também na carteira do telemóvel. É o que a app diz junto a cada botão:

Na Apple, o ficheiro do passe é feito por nós e fica no teu iPhone. Para ele se actualizar sozinho, o iPhone regista-se no nosso servidor, e guardamos o identificador desse registo e o endereço de avisos do aparelho; quando o cartão muda, mandamos à Apple (o serviço de notificações dela, a APNs) um aviso vazio para o iPhone vir buscar a versão nova. Na Google, o cartão é criado nos servidores dela no momento do toque, mesmo que não o guardes, e a Google recebe cada mudança; vai também buscar ao nosso servidor as imagens do cartão (o símbolo, ou a foto que o negócio pôs, e a faixa dos carimbos). Se o negócio pôs onde ficam as lojas, o passe leva-o: o iPhone pode mostrar o cartão no ecrã bloqueado quando estás perto, e a Google pode avisar-te; é o telemóvel que decide, sem nos dizer onde estás. Na Apple, o passe mostra também o nome que puseres no Perfil (o da Google não o leva). Nos dois casos o passe mostra o teu número de cliente nesse negócio, o teu nível (num cartão com níveis) e o que o negócio põe no cartão: as regras, as lojas (com o horário, o telefone e o Wi-Fi) e as ligações dele; e, se recebes as mensagens desse negócio com o texto que o diz, a última, durante 7 dias, sem aviso no ecrã. A Apple e a Google são destinatários destes dados, e respondem pelo que fazem do lado delas.

Quando apagas a conta: Os cartões da Carteira do telemóvel deixam de se actualizar: os da Google expiram, sem os carimbos nem o número de cliente; os do iPhone ficam como estão, com o teu número de cliente e o teu nome, até os tirares de lá. Não conseguimos apagar um passe de dentro do teu iPhone: só tu, na Carteira do iPhone.

Fundamento: o contrato, a teu pedido (és tu quem carrega no botão).

Os avisos

Os avisos são de serviço: ganhaste um prémio, um prémio está quase a acabar, levantaste um prémio, um carimbo foi anulado, um amigo veio pelo teu convite (sem dizer quem). Nunca publicidade: as mensagens dos negócios, que o são, seguem as regras de «Mensagens dos negócios», acima. Ficam sempre na caixa de avisos da app (o sininho), e podem sair também por outros caminhos, que és tu quem liga, no Perfil, em «Avisos»:

Desligar vale para todos esses caminhos, e corta no servidor na hora. O que não se desliga são os emails da própria conta: os códigos para entrar, e o aviso de que alguém juntou ou tirou uma forma de entrar, ou juntou duas contas tuas. Fundamento: o contrato, porque és tu quem pede os avisos e os desliga quando quiser; os da conta, o contrato e a segurança dela.

Os endereços para onde sai alguma coisa de um aviso são estes, e mais nenhum: fcm.googleapis.com, updates.push.services.mozilla.com, *.push.apple.com, *.notify.windows.com, api.push.apple.com, walletobjects.googleapis.com, api.mail.hostinger.com.

Se trabalhas num negócio

Guardamos o nome do negócio, a categoria, a cor, as ligações do cartão (a avaliação no Google, a ementa, o site e o Instagram) e as lojas (o nome, a morada, o fuso, o telefone, o horário e o Wi-Fi que o negócio quiser mostrar — a palavra-passe do Wi-Fi só a quem tem o cartão), e a equipa: o nome que cada pessoa tem lá, o papel (dono, gestor ou funcionário), as lojas onde trabalha, e o que fez no balcão e no painel (quem carimbou, entregou ou anulou, quem viu um contacto, quem abriu a ficha de um cliente). Os tablets da loja ficam emparelhados com um nome, e cada carimbo diz que tablet o deu. É o negócio o responsável por estes registos, que servem para corrigir erros, responder a clientes e investigar uma suspeita concreta de abuso, e nunca para avaliar ninguém da equipa (ver os termos); o convite para a equipa di-lo antes de se aceitar. Quando alguém sai da equipa, ou apaga a conta, o nome fica no histórico do negócio, para o livro continuar a dizer quem carimbou.

A segurança do serviço

Para travar quem tente abusar do serviço (pedir códigos em série, criar contas ou negócios em massa), contamos os pedidos por endereço IP durante um minuto, e por conta durante um dia. A contagem por IP fá-la a Cloudflare, e o IP não fica na nossa base. A Cloudflare guarda ainda registos técnicos dos pedidos (a hora, a morada pedida, o resultado e os dados da ligação, como o endereço IP e o país), durante poucos dias, para percebermos falhas. Fundamento: o nosso interesse legítimo em manter o serviço seguro e a funcionar (RGPD, art. 6.º, n.º 1, al. f).

3. Quem mais recebe dados

A Cloudflare, a Expo, a Google, a Apple, a Microsoft e a Mozilla são empresas dos Estados Unidos, ou têm lá a casa-mãe. Quando os dados lhes chegam fora do Espaço Económico Europeu, a transferência assenta: para os Estados Unidos, na decisão de adequação do Quadro de Privacidade de Dados UE-EUA (Decisão de Execução (UE) 2023/1795), em que a Cloudflare, Inc. e a 650 Industries, Inc. estão certificadas; para os países com uma decisão de adequação, nessa decisão; e nos outros, nas cláusulas contratuais-tipo da Decisão de Execução (UE) 2021/914, que o acordo de tratamento de dados da Cloudflare inclui. Podes pedir-nos uma cópia em geral@carimbodigital.pt. Não vendemos dados a ninguém, e não os usamos para comparar negócios, nem para seguir a mesma pessoa de negócio em negócio.

4. Durante quanto tempo

Ao apagares a conta saem os teus cartões, carimbos, prémios, sessões, formas de entrar, aparelhos, avisos e o contacto, e os registos do painel que te diziam respeito. Ficam só as contagens de cada dia de cada negócio, sem dizer de quem, e — se trabalhavas num negócio — o teu nome no histórico dele. Os passes que estiverem no iPhone ficam lá até os tirares. Se fores o único dono de um negócio com clientes, fecha-o ou passa-o primeiro a outra pessoa da equipa. Se estás na equipa de um negócio, podes apagar só a Carteira: saem os teus cartões, carimbos e prémios, o contacto, e as sessões e os avisos da Carteira, e a conta continua, com as mesmas formas de entrar, para entrares no Balcão.

5. Os teus direitos

Tens o direito de aceder aos teus dados, de os rectificar, de os apagar, de limitar o tratamento, de te opores e à portabilidade (RGPD, art. 15.º a 22.º), e de retirar um consentimento quando quiseres, sem afectar o que se fez antes. Os principais estão na app, sem teres de escrever a ninguém:

Para o resto, escreve para geral@carimbodigital.pt. Respondemos no prazo de um mês. Se achares que não tratámos bem o assunto, podes reclamar à Comissão Nacional de Protecção de Dados.

6. Como protegemos os dados

O código QR que mostras ao balcão é assinado, muda a cada poucos segundos, e cada leitura só serve uma vez: uma fotografia do ecrã não serve a ninguém. As sessões e os códigos guardam-se em resumo criptográfico, e não em claro. A comunicação vai sempre cifrada. A equipa de um negócio só vê os clientes desse negócio, cada pessoa conforme o papel que tem, e o que vê fica registado. Do nosso lado, só abrimos uma conta para dar apoio ou por segurança (por exemplo, para terminar as sessões de uma conta roubada), e cada vez fica registada; dos clientes de cada negócio vemos só contagens.

7. Menores

O Carimbo Digital não se dirige a menores de 13 anos, e não recolhemos de propósito dados de crianças. A Carteira pergunta uma vez «Tens 18 anos ou mais?», sem pedir a data de nascimento. A quem responde que não, ou ainda não respondeu, nenhum negócio calcula o ritmo das visitas, e responder que não apaga o que houver; o cartão carimba como sempre. A resposta muda-se no Perfil › Negócios, e nenhum negócio a vê.

8. Alterações

Se esta política mudar de forma que te diga respeito, avisamos na app antes de a mudança valer. Os textos que mostramos na app (o do contacto, o do ritmo e os das mensagens) têm versão, e guardamos qual viste.

A 20 de outubro de 2026 juntámos: o cartão sem conta (em «A conta e as formas de entrar»); o nível e as regras pelas visitas (em «Os cartões»); as mensagens que saem sozinhas e a novidade no verso do passe (em «Mensagens dos negócios» e nos passes); e o Wi-Fi, o horário, o telefone e as ligações dos negócios. O texto do que o negócio vê tem uma versão nova, que o cartão te mostra antes de te chegar alguma das mensagens que saem sozinhas; a novidade no verso do passe só aparece a quem ligar as mensagens com o texto novo.

A 22 de outubro de 2026 o passe da Carteira Apple passou a mostrar o nome que puseres no Perfil (em «Os passes nas carteiras da Apple e da Google»). O passe fica no teu iPhone: o nome não vai para a Apple nem para a Google. Se não o quiseres no passe, apaga-o do Perfil.