A presente política explica que dados pessoais tratamos quando utiliza a aplicação Zenness e o centro Zenness, para que finalidades, com que fundamento jurídico, com quem os partilhamos, durante quanto tempo os conservamos e quais são os seus direitos, nos termos do Regulamento Geral sobre a Proteção de Dados (RGPD).
1. Responsável pelo tratamento
O responsável pelo tratamento é a Neo Medical Systems S.A., sociedade anónima de direito luxemburguês, com sede em 2 rue Jean Engling, L-1466 Luxemburgo, RCS Luxemburgo B148 809, IVA LU26214843. «Zenness» é a marca do centro e da aplicação explorados pela Neo Medical Systems S.A.; nesta política, «nós» designa a Neo Medical Systems S.A. quando atua sob essa marca.
Para qualquer questão relativa aos seus dados, escreva-nos para info@neoms.com.
2. Dados que tratamos
Tratamos apenas os dados necessários ao funcionamento do serviço:
- Identificação e contacto: nome, endereço de email, número de telemóvel (com indicativo do país) e idioma da aplicação, que utilizamos também nos emails, notificações e faturas.
- Conta: palavra-passe (guardada sob forma cifrada irreversível pelo serviço de autenticação, nunca legível, nem por nós), estado da conta, datas de criação e de ativação, registos de início de sessão e tokens de sessão guardados no seu dispositivo.
- Marcações e utilização: equipamento, datas, durações, estado da marcação (marcada, realizada, cancelada ou falhada), código QR, hora da validação e membro da equipa que a efetuou, saldos e movimentos de minutos.
- Compras: ofertas adquiridas, montantes, estado do pagamento, marca e quatro últimos algarismos do cartão, identificadores Stripe, faturas (nome, email e, se os indicar, morada e número de IVA), reembolsos e notas de crédito.
- Cartões-presente: nome de quem oferece, nome do destinatário, mensagem pessoal e código.
- Contratos e consentimentos: texto do contrato de subscrição, nome escrito, imagem da assinatura desenhada, data, endereço IP e versão da aplicação; consentimentos dados no momento da compra, com endereço IP, versão da aplicação e texto apresentado.
- Notificações: token push do dispositivo (Firebase Cloud Messaging), plataforma (iOS ou Android), idioma e data da última utilização; registo das notificações e emails enviados (hora, tipo e estado de entrega).
- Preferência de marketing: aceitação ou recusa, data e origem. Por defeito, a opção está desativada.
- Registo interno de ações da equipa: ações manuais efetuadas na sua conta (minutos atribuídos, plano atribuído, falta justificada, reembolsos), com indicação do membro da equipa e de uma nota interna.
Não recolhemos data de nascimento, género, fotografia, morada (salvo numa fatura empresarial, a seu pedido), dados de saúde, localização, contactos, fotografias da galeria nem identificadores publicitários.
Quanto à saúde: antes de qualquer compra, declara sob compromisso de honra que leu as contraindicações e que nenhuma se lhe aplica. Guardamos apenas o facto de ter aceitado essa declaração e o texto correspondente — nunca qualquer informação sobre o seu estado de saúde.
3. Finalidades e fundamentos jurídicos
- Execução do contrato: criação e gestão da conta, marcações, controlo de acesso ao centro, pagamentos, gestão dos minutos e da subscrição, notificações de serviço (lembretes de sessão, falha de pagamento, renovação) e apoio ao cliente.
- Cumprimento de obrigações legais: faturação e contabilidade, obrigações fiscais e prova exigida pelo direito do consumo, em especial quanto aos consentimentos relativos ao direito de retratação.
- Interesse legítimo: segurança do centro e da aplicação, prevenção de fraudes e de abusos, prova e defesa em caso de litígio (contratos, consentimentos e registos) e estatísticas internas sobre marcações e ocupação do centro.
- Consentimento: envio de comunicações de marketing, que pode ativar e desativar a qualquer momento em Perfil → Termos e privacidade; e notificações push, mediante a autorização concedida no seu dispositivo.
Não efetuamos definição de perfis nem tomamos decisões exclusivamente automatizadas a seu respeito. Não vendemos os seus dados.
4. Quem tem acesso aos seus dados
Dentro da nossa organização, só a equipa autorizada acede aos seus dados, e apenas na medida do necessário à função de cada pessoa: a receção, ao ler o código QR à entrada, vê o seu nome e a marcação em causa; outras funções dizem respeito às marcações, à gestão de clientes e às finanças.
Recorremos ainda aos seguintes prestadores e destinatários, vinculados por contrato quando atuam por nossa conta:
- Supabase Inc. — base de dados, autenticação e funções de servidor (região da União Europeia).
- Stripe Payments Europe Ltd (Irlanda) — pagamentos, reembolsos e subscrições. Para determinados tratamentos, como a prevenção de fraudes e o cumprimento das suas próprias obrigações legais, a Stripe atua como responsável pelo tratamento independente.
- Apple e Google — quando escolhe pagar com Apple Pay ou Google Pay, nos termos das respetivas condições.
- Google (Firebase Cloud Messaging) — entrega das notificações push.
- Resend — envio de emails transacionais, como o código de recuperação da palavra-passe.
- Google Fonts — fornecimento de tipos de letra; a aplicação pode descarregá-los a partir dos servidores da Google, que recebem o endereço IP do seu dispositivo.
- O nosso contabilista e as autoridades (fiscais ou judiciais), quando a lei o exija.
Os dados do seu cartão bancário nunca passam pelos nossos servidores: são tratados diretamente pela Stripe, e nós recebemos apenas a marca do cartão e os seus quatro últimos algarismos.
5. Transferências para fora do Espaço Económico Europeu
Alguns prestadores (Google, Stripe, Resend e o apoio técnico da Supabase) podem aceder a dados a partir dos Estados Unidos. Essas transferências estão abrangidas pelo Quadro de Proteção de Dados UE-EUA (EU-US Data Privacy Framework) e/ou por cláusulas contratuais-tipo aprovadas pela Comissão Europeia.
6. Prazos de conservação
- Dados da conta: enquanto a conta existir; com a eliminação da conta, nos termos descritos no ponto 7.
- Faturas e documentos contabilísticos: 10 anos, nos termos da legislação contabilística e de IVA belga e luxemburguesa.
- Contratos assinados e consentimentos de compra: durante a vigência do contrato e, depois, 10 anos (prazo de prescrição), para efeitos de prova.
- Histórico de marcações e de utilização: durante a relação contratual; depois, apenas sob forma anonimizada, para fins estatísticos.
- Token push: até terminar a sessão, eliminar a conta ou o token ser invalidado pelo dispositivo.
- Registos de notificações e emails e eventos técnicos de pagamento: até 3 anos.
- Registo do consentimento de marketing: enquanto o consentimento se mantiver, acrescido do período necessário à respetiva prova.
7. Eliminação da conta
Pode eliminar a sua conta diretamente na aplicação, em Perfil → Apagar a minha conta, escrevendo a palavra de confirmação indicada. A eliminação não é possível enquanto tiver uma subscrição ativa, em curso de cancelamento ou com pagamento em falta: a subscrição tem de terminar primeiro. As contas da equipa não podem ser eliminadas a partir da aplicação.
O que é removido:
- o seu nome, que é substituído por uma designação anónima;
- o seu email, número de telemóvel, palavra-passe e preferência de marketing;
- a imagem da assinatura desenhada e o endereço IP registado na assinatura do contrato;
- os nomes indicados nos cartões-presente;
- todas as sessões abertas, em todos os dispositivos, que são encerradas.
O que conservamos, por obrigação legal ou para efeitos de prova:
- as faturas já emitidas, com o nome, email e morada tal como nelas constam;
- o texto do contrato assinado, com o nome escrito;
- os registos dos consentimentos dados no momento da compra (com endereço IP e hora);
- o histórico de marcações e de utilização, sob um identificador anónimo que deixa de estar associado ao seu nome ou contactos.
A Stripe conserva os seus próprios registos de pagamento, ao abrigo das obrigações legais que lhe são aplicáveis.
8. Permissões e armazenamento no dispositivo
A aplicação só pede as permissões estritamente necessárias:
- Notificações: facultativas; o pedido só surge depois de um ecrã explicativo, e pode retirar a autorização a qualquer momento nas definições do dispositivo.
- Câmara: utilizada apenas pelo leitor de códigos da equipa do centro; os membros não precisam de a conceder.
A aplicação não pede acesso à localização, aos contactos nem às fotografias.
No seu dispositivo, a aplicação guarda apenas a sessão iniciada e o idioma escolhido. As páginas legais públicas não utilizam cookies nem ferramentas de medição de audiência. O painel de gestão da equipa guarda no navegador a sessão e o idioma da interface, o que é estritamente necessário ao seu funcionamento.
9. Ausência de rastreamento
A aplicação não integra ferramentas de análise, de rastreamento ou de publicidade. Não seguimos a sua atividade noutras aplicações ou sítios, não criamos perfis e não cedemos os seus dados a terceiros para fins comerciais.
10. Segurança
Adotamos medidas técnicas e organizativas adequadas, nomeadamente:
- ligações cifradas (TLS);
- controlo de acesso por utilizador ao nível da base de dados;
- acesso da equipa limitado em função do papel de cada pessoa;
- palavras-passe guardadas sob forma cifrada irreversível;
- registos inalteráveis para faturas, contratos e consentimentos;
- registo das ações efetuadas pela equipa.
11. Menores
O serviço destina-se exclusivamente a maiores de 18 anos. Não recolhemos conscientemente dados de menores.
12. Os seus direitos
Nos termos do RGPD, tem direito a:
- aceder aos seus dados;
- retificá-los;
- obter o seu apagamento;
- obter a limitação do tratamento;
- receber os dados que nos forneceu num formato estruturado (portabilidade);
- opor-se ao tratamento, incluindo ao tratamento baseado no nosso interesse legítimo;
- retirar o seu consentimento a qualquer momento, sem que isso comprometa a licitude do tratamento efetuado até então.
Para exercer estes direitos, basta escrever para info@neoms.com. Respondemos no prazo de um mês e podemos pedir-lhe que comprove a sua identidade.
13. Reclamações
Se considerar que o tratamento dos seus dados não respeita a lei, pode apresentar reclamação junto de uma autoridade de controlo:
- Autoridade de Proteção de Dados belga (Autorité de protection des données / Gegevensbeschermingsautoriteit), Rue de la Presse 35 / Drukpersstraat 35, 1000 Bruxelas — contact@apd-gba.be;
- Comissão Nacional para a Proteção de Dados do Luxemburgo (Commission nationale pour la protection des données — CNPD), 15 Boulevard du Jazz, L-4370 Belvaux;
- ou a autoridade de controlo do seu país de residência.
14. Alterações a esta política
Qualquer alteração é publicada na aplicação e em app.zenness.be/legal/privacy, com indicação da data. As alterações significativas ser-lhe-ão notificadas.
Última atualização: 6 de outubro de 2026