Política de Privacidade

Última atualização: 3 de novembro de 2026

Versão 1.20

A Coleira é uma aplicação onde as casas que prestam serviços para cães (creche, hotel, banhos e tosquia, treino, passeios e transporte) registam o dia dos cães que recebem. Nesta página, «creche» designa qualquer uma dessas casas. Para isso, guarda dados sobre pessoas: os donos dos cães, as pessoas que eles autorizam a levantar o cão, e quem trabalha na creche. Esta página explica quem decide o que se faz com esses dados, que dados são, durante quanto tempo ficam, e o que cada pessoa pode exigir.

1. Quem é responsável pelo quê

Há duas entidades envolvidas e elas não fazem a mesma coisa. Perceber a diferença é o mais importante desta página, porque é ela que diz a quem se deve dirigir um pedido.

A creche é a responsável pelos dados dos donos dos cães

A creche é quem decide recolher os dados, para que os usa e quanto tempo os quer manter. Em linguagem do Regulamento Geral sobre a Proteção de Dados (RGPD), a creche é o responsável pelo tratamento. Cada creche é uma entidade independente, com o seu próprio nome, morada e número de contribuinte, e é ela que responde perante os donos dos cães.

A Coleira é a subcontratante nesses dados

A Coleira fornece a ferramenta e trata os dados por conta e segundo as instruções da creche. Em linguagem do RGPD, é a subcontratante. Não usa os dados dos donos dos cães para fins próprios, não os vende, não os cruza entre creches e não os usa para publicidade. O que pode e não pode fazer está fixado por escrito no contrato de subcontratação previsto no artigo 28.º do RGPD, que cada creche celebra com a Coleira.

Registo de limpezas da creche. Quando a creche usa esta função, a creche decide a finalidade e é a responsável pelo tratamento; a Coleira trata os dados por sua conta. Ficam registados a data da limpeza, o nome e a identificação interna do colaborador que a fez, a zona opcional, e quem criou ou corrigiu o registo e quando. O nome fica associado ao registo mesmo depois de o colaborador sair da equipa. As correções ficam também no registo de auditoria da creche. Atualmente não há purga por idade nem apagamento individual na interface: os registos mantêm-se enquanto a conta estiver ativa. No apagamento integral da creche, saem da base de dados ativa; as cópias de segurança podem conservá-los até 6 meses. A creche deve avaliar se este prazo serve a sua finalidade antes de usar a função.

Identificação da Coleira:

• Miguel Moreira Areias, empresário em nome individual
• NIF 267363869
• Rua da Praia 67, 1.º Dto, 4485-495 Mindelo, Vila do Conde, Portugal
• privacidade@coleira.pt

Onde a Coleira é, ela própria, responsável

Em seis conjuntos de dados a Coleira não está a trabalhar para ninguém: é ela que decide, e por isso é ela a responsável pelo tratamento.

• As contas de utilizador de quem trabalha nas creches — porque a conta é da pessoa e vale em todas as creches onde ela trabalhe, não de uma creche em particular.
• A faturação da subscrição do serviço, cobrada à creche.
• A contratação: os dados que a creche preenche na página de adesão e o registo da aceitação do contrato.
• Os registos técnicos e de segurança gerados pela operação da plataforma, quando servem para garantir a segurança e a continuidade do serviço.
• Os contactos comerciais a quem explora creches e hotéis caninos, nos termos explicados abaixo.
• As mensagens dirigidas aos endereços da Coleira, para responder a pedidos e cumprir obrigações próprias.

Contactos comerciais

A Coleira pode usar dados de contacto publicados para apresentar o serviço a quem explora creches e hotéis caninos, por email, telefone, WhatsApp ou mensagem nas redes sociais. Se os dados identificarem uma pessoa, esta tem os direitos previstos no RGPD.

• Responsável: Miguel Moreira Areias, empresário em nome individual, identificado nesta página; contacto de privacidade: privacidade@coleira.pt.
• Finalidade e fundamento: apresentar a Coleira a quem explora creches e hotéis caninos, com fundamento no interesse legítimo em desenvolver a atividade comercial (artigo 6.º, n.º 1, alínea f), do RGPD), após ponderação dos direitos das pessoas de contacto.
• Dados e origem: nome da creche e de quem a explora, atividade e localização, contacto (email, telefone ou conta numa rede social) e histórico mínimo da abordagem; obtidos no registo público de estabelecimentos da DGAV, nos perfis públicos da própria creche ou diretamente dela.
• Conservação: até dois anos sem resposta. Se houver recusa, os dados da oportunidade são removidos da lista comercial; conserva-se apenas um identificador mínimo de supressão, com a data e o âmbito da recusa, para impedir novo contacto acidental.
• Destinatários: a lista não é vendida nem disponibilizada para outros fins. A gestão comercial documentada utiliza também a Bússola, alojada na Oracle Cloud, e ficheiros no repositório privado GitHub. O acesso é restrito e estas cópias seguem os mesmos critérios de conservação e oposição; apagar uma oportunidade não garante, por si, a remoção de uma cópia histórica. A cobertura contratual e as localizações destes prestadores devem ser verificadas antes de novos dados pessoais serem aí guardados. O envio por email é feito pela Resend, operada por Plus Five Five, Inc., nos Estados Unidos; recebe o endereço profissional de destino, o conteúdo do email e os dados técnicos necessários ao envio. Na consulta de 9 de outubro de 2026, a participação da Resend no EU-U.S. Data Privacy Framework aparecia ativa, com a recertificação em análise. A lista oficial deve voltar a ser consultada antes de cada nova versão. As mensagens por WhatsApp e Instagram passam por esses serviços, da Meta, que recebem o contacto e o conteúdo da mensagem. Esta informação tem de estar publicada e acessível antes de qualquer novo contacto comercial.

O interesse legítimo para tratar dados de contacto não substitui as regras sobre o canal de marketing. Antes do primeiro email, consulta-se a lista atual da Direção-Geral do Consumidor (DGC) de pessoas coletivas que se opõem a marketing direto. Em qualquer canal, o primeiro contacto diz quem escreve, de onde veio o contacto e como recusar novos contactos, e quem recusa não volta a ser contactado. A origem pública do contacto, por si só, não autoriza o envio.

A informação sobre a origem, os dados, os destinatários e os direitos é apresentada no primeiro contacto e está disponível nesta secção. A pessoa de contacto pode pedir acesso, retificação, apagamento, limitação ou opor-se ao tratamento, gratuitamente, através de privacidade@coleira.pt. A oposição a marketing direto é sempre respeitada. Pode também reclamar à CNPD, como explicado no ponto 12. A regra aplicável a assinantes que sejam pessoas coletivas consta do artigo 13.º-A da Lei n.º 41/2004; a consulta mensal da lista da DGC consta do artigo 13.º-B.

Na prática: um dono de cão que queira exercer os seus direitos dirige-se à creche. Quem trabalha na creche e queira exercer direitos sobre a sua própria conta pode dirigir-se diretamente à Coleira.

2. Que dados são tratados

2.1. Donos dos cães (a creche é a responsável)

• Identificação e contacto: nome, email, telefone, telefone alternativo, morada, código postal, localidade e número de contribuinte. Estes dados, menos o email e o telefone principal, podem ser escritos pela creche ou pelo próprio dono, na página dele (ponto 8).
• Notas internas escritas pela creche sobre o cliente.
• Dados do cão que apontam para o dono: número de microchip (registado no SIAC em nome de uma pessoa), nome e telefone do veterinário, companhia e número de apólice de seguro.
• Texto livre escrito pela creche ao longo do dia: notas, avisos sobre o cão, notas de cobranças, notas de pacotes e notas de compatibilidade entre cães. Este texto pode conter referências a pessoas.
• Quem entregou e quem levantou o cão em cada marcação, e o motivo de um cancelamento. Se a creche o usar, também o quarto do hotel atribuído à estadia e o colaborador da creche responsável pela marcação.
• Conta corrente: o que a creche cobrou ao cliente, o que ele pagou e o que lhe foi devolvido (valor, data e forma de pagamento), os pacotes de dias e as mensalidades combinadas (o cão, os dias da semana e o preço). A plataforma não emite faturas, não recebe dinheiro e não fala com nenhum banco.
• Pagamentos online, só se a creche tiver ligado a sua própria conta Stripe (ponto 8.3): os links de pagamento que a creche mandou (a que cliente e a que cobrança se referem, a validade, o canal e a data de envio) e cada tentativa de pagar por eles (os identificadores do Stripe, o valor, a moeda, o estado, o que foi reembolsado ou perdido em disputa, e as datas). Não guarda o nome, a morada nem os dados do cartão que o dono escreve na página do Stripe.
• Conversas de WhatsApp abertas a partir da aplicação, se a creche usar as mensagens prontas: a que cliente foi aberta a conversa, quem da creche a abriu, o nome da mensagem e a data e a hora. A Coleira não envia nada pelo WhatsApp: a aplicação abre o WhatsApp no telemóvel ou no computador de quem está na creche, com o texto já escrito, e é essa pessoa que decide enviar. Por isso a Coleira não sabe se a mensagem foi enviada e não vê as respostas. O texto composto para cada pessoa, com o nome, o cão ou o valor em dívida, não fica guardado; ficam só os textos-modelo que a creche escreve, com as variáveis por trocar.
• O que o dono escreve na página dele (ponto 8): o comprovativo de vacinação que carrega, o reporte de doença do cão (o texto que escreve), a ficha do cão que preenche e corrige (data de nascimento, sexo, porte, peso, raça, microchip, o veterinário e o seguro, a ração, as condições médicas, as alergias e as autorizações sim / não, entre outros campos de uma lista fechada), os seus próprios dados (nome, outro telefone, morada e NIF) e, se a creche tiver um termo de responsabilidade, a aceitação desse termo. A aceitação guarda o nome que a pessoa escreve ao aceitar, uma cópia integral do texto aceite, a data e a hora e o endereço IP de onde foi aceite. O IP fica pela mesma razão do ponto 2.3: do outro lado não há ninguém autenticado, e é o que permite perceber de onde veio uma aceitação que alguém conteste.

2.2. Terceiros autorizados a levantar o cão

A creche pode registar outras pessoas indicadas pelo cliente — normalmente familiares, vizinhos ou quem faz passeios — com nome, telefone, relação com o cliente e notas, e a indicação de estarem ou não autorizadas a levantar o cão.

São pessoas que nunca falaram com a Coleira e podem nem saber que estão aqui. Ninguém lhes perguntou nada: foi o dono do cão que deu o nome e o número ao balcão, e a creche escreveu-o. Quem lhes tem de dizer que os dados delas foram registados é a creche — é a regra do artigo 14.º do RGPD, que se aplica precisamente a dados que não vieram da própria pessoa. A Coleira não tem forma de as contactar nem o direito de o fazer.

Estas pessoas têm exatamente os mesmos direitos de todas as outras: saber o que está registado sobre si, mandar corrigir, e mandar apagar. O pedido faz-se à creche. A Coleira limita-se a guardar o que a creche escreveu.

2.3. Pedidos de marcação feitos na página pública

A creche pode ter uma página pública onde qualquer pessoa pede um dia para o seu cão, sem ter conta nem ser ainda cliente. Esse formulário regista nome, email, telefone, nome do cão, notas sobre o cão, a mensagem escrita e o endereço IP de onde o pedido foi enviado.

O endereço IP não é guardado para identificar ninguém: é guardado porque o formulário escreve na base de dados sem haver qualquer pessoa autenticada do outro lado, e o IP é o que permite travar envios em massa e perceber a origem de um abuso. O fundamento é o interesse legítimo em manter o serviço a funcionar.

Lista de espera. Se os dias pedidos estiverem cheios, a creche pode pôr o pedido em espera. Guarda-se desde quando o pedido espera e por que dias. Se a creche tiver os avisos por email ligados e a pessoa tiver deixado o email, recebe um email a dizer que o pedido foi visto e que esses dias estão cheios. Quando abre uma vaga num desses dias, a creche recebe um email com a fila desse dia, por ordem de entrada, com o nome e o telefone de cada pessoa que espera.

2.4. Quem trabalha na creche (a Coleira é a responsável)

• Conta: nome, email, telefone, palavra-passe guardada apenas como resumo criptográfico não reversível por bcrypt, com fator de custo 12 (nunca em texto legível), data de verificação do email e data da última entrada.
• Ligação a cada creche: nome indicado no convite, data do convite, data de entrada, última vez que foi vista, estado e a indicação de ser ou não a pessoa responsável pela creche.
• Sessão: identificador do utilizador, endereço IP e identificação do navegador enquanto a sessão dura.
• Recuperação de palavra-passe: o email e um código temporário de uso único.

Palavras-passe divulgadas. Quando alguém escolhe uma palavra-passe, ao aceitar um convite ou ao recuperar o acesso, a aplicação confirma que ela não aparece em listas públicas de palavras-passe divulgadas, no serviço Pwned Passwords (api.pwnedpasswords.com). A palavra-passe e o email nunca saem do servidor. Sai apenas o início de um resumo da palavra-passe (os primeiros 5 caracteres do seu SHA-1, que não permitem reconstituí-la); o serviço devolve todos os resumos que começam assim, e a comparação faz-se no servidor da Coleira. Se o serviço não responder em 5 segundos, a palavra-passe é aceite sem essa confirmação.

2.5. A creche enquanto entidade

Nome, morada, código postal, localidade, número de contribuinte, telefone, email e número DGAV. Quando a creche é uma empresa, isto não são dados pessoais. Quando é um empresário em nome individual, são — e valem-lhe as mesmas regras desta página.

Se a creche ligar a sua conta Stripe para os pagamentos online, a Coleira guarda também o identificador dessa conta, se ela já pode receber pagamentos e a data em que foi ligada. Os dados que a creche dá ao Stripe para abrir a conta (identificação, IBAN e o resto que o Stripe pedir) escreve-os na página do Stripe, e não chegam à Coleira.

Quando a creche adere por uma hiperligação pessoal que a Coleira lhe envia por email, a Coleira guarda ainda, como responsável pelo tratamento, os dados que a creche escreve na página de adesão (denominação, número de contribuinte, morada, telemóvel e representante), o nome de quem aceitou, o email para onde foi enviada a hiperligação, a data e a hora da aceitação, o endereço IP e o identificador do navegador desse momento, o texto do contrato e dos Termos aceites, e o resumo criptográfico desses textos. Serve para provar que o contrato foi aceite, por quem e com que texto (fundamento: execução do contrato e interesse legítimo em poder provar o que foi acordado, artigo 6.º, n.º 1, alíneas b) e f), do RGPD). A creche recebe uma cópia em PDF de imediato, e a Coleira regista esse envio: o email de destino, o nome do ficheiro, a data e a hora, o identificador da mensagem ou o erro que a impediu.

O endereço IP e o identificador do navegador da aceitação servem só para provar quem aceitou, quando e em que circunstâncias técnicas, e para defender o contrato em tribunal se for contestado (interesse legítimo, artigo 6.º, n.º 1, alínea f), do RGPD). São os dois únicos dados técnicos que guardamos, só a Coleira lhes acede e não servem para mais nada. Ficam pelo mesmo prazo do resto da prova, explicado no ponto 5.

2.6. Registos técnicos e de auditoria (papéis distintos)

• Registo de auditoria: cada alteração feita na aplicação fica numa linha com quem a fez, sobre o quê, quando, os valores antes e depois, e o endereço IP e a identificação do navegador de onde foi feita. Quando é o dono que escreve na página dele (comprovativo de vacinação, reporte de doença, aceitação do termo, alteração da ficha do cão ou dos seus dados), ou quando um pedido feito na página pública da creche é recusado por falta de vacina, não há utilizador: ficam o IP e o navegador de quem o fez. Este registo é tratado por conta da creche, nos prazos do contrato de subcontratação.
• Registo de acessos ao servidor: cada pedido feito ao servidor deixa uma linha com a data e a hora, o endereço IP, o endereço da página pedida e a identificação do navegador. Antes de a linha ser escrita, saem dela as credenciais que podem viajar no endereço (a assinatura do link do dono, o código e o email do link de palavra-passe nova) e o endereço da página de onde se veio.
• Registo de erros da aplicação: quando algo falha, fica a mensagem do erro e o sítio do código onde aconteceu. A mensagem pode trazer dados com que a aplicação estava a trabalhar nesse momento, como os valores de uma consulta à base de dados.

3. Saúde animal e campos de texto livre

A Coleira regista vacinas, desparasitações, medicação, condições médicas, alergias, incidentes, relatórios de saúde e as doenças que o dono reporta na página dele. Tudo isso é do cão. Saúde animal não é uma «categoria especial de dados» na aceção do artigo 9.º do RGPD, que fala de saúde de pessoas. A Coleira não pede dados de saúde de pessoas nem os precisa para prestar o serviço. Porém, vários campos aceitam texto livre, incluindo o reporte de doença e as condições médicas e alergias da ficha, que o dono também pode escrever. Quem os preenche pode incluir inadvertidamente dados pessoais de pessoas, eventualmente dados de saúde ou outra categoria especial. A plataforma não deteta nem filtra automaticamente esse conteúdo. Quando esses campos são usados por conta da creche, é a creche que determina a finalidade e tem de instruir os utilizadores a não escrever esses dados e avaliar a licitude se forem introduzidos. A presente Política não afirma que existe uma condição do artigo 9.º para esse tratamento incidental.

4. Fundamento de licitude

Nos tratamentos próprios da Coleira, os fundamentos são:

• Execução de contrato (artigo 6.º, n.º 1, alínea b): identificação, contratação e prestação do serviço quando o titular é a própria pessoa que contrata.
• Interesse legítimo (alínea f): gerir contactos e contas profissionais de representantes e colaboradores de clientes, permitir autenticação e suporte, proteger a plataforma e prevenir abusos. O interesse é prestar e proteger o serviço contratado pela creche, com dados limitados ao necessário e possibilidade de oposição nos termos legais. O contrato com a empresa não torna o seu trabalhador parte desse contrato.
• Obrigação legal (alínea c): faturação e conservação fiscal.

Nos dados tratados por conta da creche, incluindo donos, contactos autorizados, atividade dos colaboradores e auditoria das suas ações, é a creche que determina e informa o fundamento adequado a cada finalidade. A Coleira segue as suas instruções. O contrato entre Coleira e creche não constitui, por si só, fundamento para todos os tratamentos da creche. A receção da informação de privacidade não é consentimento.

5. Durante quanto tempo os dados ficam

São estes os prazos:

• Dados de cliente e do cão: 3 anos após a última marcação do cliente (de qualquer cão, canceladas incluídas) ou, se nunca teve marcação, após a criação da ficha. Inclui os reportes de doença e os termos aceites, que se apagam com o cliente. Da conta corrente apaga-se o texto escrito e ficam os valores sem identificadores diretos. Os dados residuais, como datas e características do cão, podem permitir identificação indireta; não são apresentados como anonimização irreversível garantida. A creche pode instruir eliminação adicional quando necessária.
• Prova da adesão ao contrato: enquanto o contrato vigorar e, depois, durante o prazo em que qualquer das partes o possa invocar em tribunal. Esse prazo é, no máximo, o da prescrição ordinária, 20 anos (artigo 309.º do Código Civil), ou o da prescrição aplicável ao que o registo serve para provar, se for mais curto, e é revisto quando terminar a última obrigação do contrato. Vale para a prova inteira, incluindo o endereço IP e o identificador do navegador: é para isso mesmo que se guardam (provar e defender o contrato em juízo), e só são lidos se houver uma contestação. O registo não é apagado quando a creche é eliminada. A Coleira ainda não tem uma rotina que apague estes dois dados no fim do prazo, e nenhum registo chega aos 20 anos antes de 2046; a rotina fica feita antes disso e esta página passa a dizê-lo.
• Registo de auditoria: 2 anos. Findo esse prazo apaga-se o conteúdo das alterações (os valores antigos e novos) e mantém-se a linha com quem fez, o quê, quando, e o endereço IP e o navegador de onde foi feito. Nas ações feitas sem ninguém da creche autenticado (o dono na página dele, ou um pedido no formulário público, incluindo os recusados por falta de vacina), saem também, aos mesmos 2 anos, o IP e o navegador. Quando o cliente é apagado, os do dono saem logo. O resto da linha não tem, à data desta versão, prazo de fim, e nela ficam o IP e o navegador das ações da equipa da creche, que são a prova de quem trabalhou com os dados.
• Cópias de segurança: os dados da base de dados podem sobreviver até 6 meses, pela rotação no código de 7 cópias diárias, 4 semanais e 6 mensais. As versões dos ficheiros apagados podem permanecer no armazenamento de cópias até ao limite operacional de 7 meses, incluindo o período em que ainda podem ser repostos e o ciclo de vida da versão no bucket. A consola Scaleway confirmou em 10 de outubro de 2026 que as versões não correntes das cópias expiram ao fim de 1 dia e as dos ficheiros ao fim de 150 dias; a regra de 1 dia não elimina objetos correntes.
• Fotografias e documentos apagados pela creche: 30 dias. Durante esse tempo deixam de se ver. Uma fotografia ou um documento apagado sozinho só se repõe nos segundos a seguir, pelo botão Desfazer. Um registo do dia apagado, com as fotografias dele, pode ser reposto a partir do ecrã desse dia. Ao fim dos 30 dias o ficheiro é apagado de vez, com a miniatura que a aplicação fez dele.
• Pessoas de contacto e recados apagados pela creche: 30 dias. Durante esse tempo deixam de se ver, e ao fim dos 30 dias são apagados de vez. Um cliente ou um cão apagado na aplicação fica arquivado, e pode ser reposto: segue o prazo dos 3 anos dos dados de cliente, e não este.
• Registos de limpezas: atualmente ficam enquanto a conta da creche estiver ativa; não há purga por idade nem apagamento individual na interface. No apagamento integral da creche saem da base de dados ativa; podem permanecer nas cópias de segurança até 6 meses.
• Pedidos de marcação de quem nunca chegou a ser cliente: 1 ano a contar do pedido, feito no formulário público de uma creche, tenha ou não ficado em lista de espera. Levam o nome, o email, o telefone, a mensagem e o endereço IP de quem o fez, e são apagados com tudo isso.
• Documentos de faturação: 10 anos (artigo 52.º do Código do IVA e as regras de conservação de documentos fiscais).
• Aberturas da página do dono: 6 meses. Ver o ponto 8.1.
• Conversas de WhatsApp abertas: apagam-se com o cliente e, independentemente disso, aos 6 meses (a lista só usa as últimas 48 horas). Os textos-modelo que a creche escreve ficam até ela sair da Coleira: um texto que a creche apague deixa de aparecer, mas só é apagado de vez com a creche.
• Links e tentativas de pagamento online: o link deixa de abrir ao fim de 180 dias, ou antes, se a creche o cancelar. As linhas do link e das tentativas ficam 10 anos a contar da criação, como os documentos de faturação, e depois apagam-se. Saem antes se a creche for apagada; quando o cliente é apagado, ficam ligadas à ficha já sem nome, com os identificadores do Stripe e os valores, até esse prazo. Ver o ponto 8.3.
• Registo de acessos ao servidor: 30 dias. O ficheiro roda por tamanho, e na prática a linha mais antiga tem entre 30 e 32 dias.
• Registo de erros da aplicação: fica no registo do sistema do servidor, que apaga o mais antigo quando chega a um limite de espaço. Não tem, à data desta versão, um prazo em dias.
• Contas globais: enquanto necessárias ao acesso autorizado a uma creche. A necessidade é revista no encerramento da última associação e em pedidos de apagamento. Depois disso, apenas os dados necessários a obrigação legal ou defesa de direitos são conservados, com fundamento e revisão documentados. Desativar o acesso não apaga a conta.
• Correspondência própria: pelo tempo necessário para concluir o pedido; prova contratual enquanto o contrato vigorar e, após cessação, pelo período justificado por obrigação legal ou defesa de direitos. Anexos operacionais não são arquivo comercial e seguem as instruções da creche. O prazo do fornecedor de email não é o prazo do arquivo.
• Sessões: o prazo configurado de inatividade é de 120 minutos; o registo é removido pela limpeza de sessões. A caducidade do acesso e a remoção física não são necessariamente simultâneas.

Sendo honestos sobre o estado de hoje: desde 21 de setembro de 2026 existe uma rotina que corre todas as noites, às 04:30 (hora UTC, 05:30 em Lisboa no horário de verão), e apaga sozinha os dados que passaram dos prazos dos clientes, do registo de auditoria, das aberturas da página do dono, dos pedidos não convertidos, dos ficheiros apagados e, desde 5 de outubro de 2026, das pessoas de contacto e dos recados apagados e do IP e do navegador no registo de auditoria, e, com esta versão, das conversas de WhatsApp abertas há mais de 6 meses. Corre em todas as creches, incluindo as suspensas e as que cancelaram. Numa creche que fechou, só começa 30 dias depois do fecho, que é o tempo em que a creche ainda pode pedir os seus dados de volta. No fim do contrato, a creche é apagada de vez, com os ficheiros e o registo de auditoria dela, nos prazos do contrato de subcontratação. O compromisso era tê-la até 31 de março de 2027, e foi cumprido com mais de seis meses de antecedência. O apagamento a pedido continua a existir — quem quiser que os seus dados sejam apagados pede, e são apagados, sem esperar pelo prazo.

O que essa rotina não faz, e que preferimos dizer do que deixar por dizer: não apaga imediatamente as cópias de segurança. Os dados da base de dados podem sobreviver até 6 meses nas cópias rotativas. As versões de ficheiros apagados têm um teto declarado de até 7 meses, contando o período de recuperação e a expiração da versão no bucket. A consola Scaleway confirmou em 10 de outubro de 2026 que a regra de 150 dias se aplica às versões não correntes do bucket das cópias; a aplicação mantém a recuperação durante 30 dias, perfazendo cerca de 180 dias desde o apagamento lógico, abaixo do teto declarado. A plataforma está no ar desde 7 de setembro de 2026, por isso nos primeiros tempos quase nada chega ainda aos prazos.

O apagamento a pedido, quando é feito, é irreversível: apaga os ficheiros do disco, apaga as pessoas de contacto e os links da página do dono, apaga os termos aceites (com o nome e o IP de quem aceitou), esvazia todo o texto livre escrito sobre o cliente, incluindo os reportes de doença e as notas da conta corrente, dá aos cães nomes genéricos e retira-lhes microchip, veterinário e seguro, limpa os valores guardados no registo de auditoria relativos a esse cliente e apaga o IP e o navegador das ações que o dono fez na página dele. Não há forma de o desfazer.

O apagamento a pedido não apaga tudo o que diz respeito a pagamentos online. Os links de pagamento do cliente deixam de abrir, mas as linhas desses links e das tentativas de pagamento ficam, ligadas à ficha já sem nome, com os identificadores do Stripe e os valores. Com esses identificadores, a creche consegue encontrar o pagamento na sua conta Stripe. E o que o dono deu ao Stripe ao pagar (nome, email, dados do cartão) está na conta Stripe da creche, fora da Coleira: apagá-lo é com a creche, no Stripe.

6. Quem mais toca nos dados

A Coleira recorre a outras empresas para funcionar. A lista identifica os serviços, os dados que lhes chegam e os países relevantes; cada fluxo que trate dados por conta da creche tem de estar coberto por instruções e contrato aplicáveis antes de receber esses dados. A lista completa, permanentemente atualizada, está em Subprocessadores, onde consta também o compromisso de avisar cada creche por email, com pelo menos 10 dias de antecedência, antes de acrescentar ou trocar qualquer um deles.

• Hetzner Online GmbH (Helsínquia, Finlândia, União Europeia) — servidor da aplicação e base de dados. Recebe os dados que estão na aplicação.
• Scaleway SAS (França, União Europeia) — armazenamento de ficheiros, na região fr-par. Fotografias e vídeos de cães e as miniaturas que a aplicação faz das fotografias, logótipos, contratos e autorizações assinadas, comprovativos de vacinação (incluindo os que o dono carrega na página dele), no espaço coleira-fotos; as cópias de segurança num segundo espaço separado, coleira-copias. Os ficheiros são servidos por endereços temporários assinados, não por endereços públicos.
• Resend / Plus Five Five, Inc. — envio de email. O envio configurado parte de eu-west-1 (Irlanda), mas a Resend declara que dados da conta, conteúdo, anexos e logs são armazenados nos Estados Unidos. Recebe o endereço do destinatário e o conteúdo da mensagem. Aos donos: o resumo da semana, enviado à sexta, ao sábado ou ao domingo, que pode levar fotografias do cão em anexo; avisos de incidente, de doença e de marcação; a lista das vacinas do cão a caducar nos 30 dias seguintes; o lembrete de pagamento, com o valor em dívida e os dados para pagamento; o link de pagamento, com o valor a pagar e o endereço do link (ponto 8.3); o link para escolher a palavra-passe da conta, quando o dono o pede no endereço de entrar da creche (ponto 8.2); e, a quem fez um pedido na página pública, o aviso de que ficou em lista de espera. À creche: o reporte de doença que um dono fez na página dele, com o texto que escreveu; a lista semanal das vacinas a caducar, com o cão, o dono e a data; o aviso de vaga, com o nome e o telefone de quem espera; e o aviso de pedido novo, com o nome de quem pediu, o cão, o serviço e os dias pedidos, incluindo o estado e o motivo quando o pedido não fica aceite. A quem trabalha na creche: convites e recuperação de palavra-passe. Na consulta oficial de 10 de outubro de 2026, o perfil da Resend mostrava participação ativa no EU-US Data Privacy Framework, com recertificação em análise. A página Documents da conta confirma o DPA pré-assinado e plenamente executado no registo; o DPA contém Cláusulas Contratuais-Tipo, que a Resend declara independentes do DPF. A receção de emails foi confirmada pelo prestador em testes repetidos em 11 de outubro de 2026. A Resend armazena mensagens e anexos recebidos mesmo sem webhook; publica 30 dias para emails e logs, sem prazo separado para anexos inbound. A aplicação do DPF depende de o tratamento estar dentro do âmbito da certificação.
• Cloudflare, Inc. (Estados Unidos) — DNS autoritativo e Email Routing. Os registos A do site são “DNS only”; os pedidos HTTP seguem diretamente para a Hetzner. A Cloudflare fornece o desafio DNS-01, mas a Let's Encrypt emite o certificado TLS. O encaminhamento recebe email para os endereços @coleira.pt e entrega-o ao Worker correio-miguel. O prestador confirmou receção repetidamente testada em 11 de outubro de 2026; essa confirmação não equivale a vigilância permanente. O perfil oficial DPF da Cloudflare mostra certificação ativa (verificada a 28 de outubro de 2026; próxima recertificação até 15 de setembro de 2027). A Cloudflare declara que o DPA standard v6.4 integra o contrato Self-Serve; ainda falta guardar o contrato concreto da conta e confirmar a contraparte e a cobertura do Email Routing. Este fluxo é correio próprio da Coleira; separadamente, a Resend envia emails da plataforma por conta da creche.

No aviso de doença enviado aos donos de cães que possam ter estado em contacto, o email contém uma mensagem genérica e os dias de presença do cão de cada destinatário na creche. Não inclui o título, a descrição nem identificadores diretos do cão doente ou do dono que reportou. A combinação dos dias com outras informações que o destinatário conheça pode, ainda assim, permitir inferências. O texto integral do reporte continua acessível à própria creche dentro da plataforma e no email dirigido apenas à creche.

Há ainda dois serviços externos que não são subprocessadores da Coleira, e que dizemos aqui para a lista ficar completa:

• Pwned Passwords (api.pwnedpasswords.com), na escolha de uma palavra-passe, como se explica no ponto 2.4. Não recebe dados pessoais: nem a palavra-passe, nem o email, nem quem a escolheu.
• Stripe, nos pagamentos online, só para a creche que ligou a sua própria conta Stripe (ponto 8.3). Quem contrata o Stripe é a creche, diretamente e em nome próprio, e o Stripe trata os dados segundo a sua própria política de privacidade (stripe.com/privacy). Por instrução da creche, a Coleira envia à conta Stripe dela o valor e a moeda, uma descrição com o nome da creche, o email do dono se a ficha o tiver, um identificador aleatório e os endereços de regresso à página do link. O dono escreve os dados de pagamento na página do Stripe, não na da Coleira; o número do cartão e o código de segurança nunca passam pela Coleira. A Coleira recebe do Stripe avisos automáticos sobre o pagamento, o reembolso e a disputa, e guarda apenas os identificadores, os valores, a moeda, o estado e as datas. As garantias das transferências para fora da União Europeia são as do acordo entre o Stripe e a creche.

Não há ferramentas de estatísticas de visitantes, não há rastreio de erros com envio para terceiros, e não há qualquer publicidade. A Coleira não vende dados pessoais. A ligação externa para o mapa só sai da Coleira quando a própria pessoa a abre; o destino e os dados dessa navegação são explicados abaixo.

7. Cookies

A Coleira usa quatro cookies, todos estritamente necessários para a aplicação funcionar:

• coleira-session — mantém a sessão iniciada, para não ser preciso escrever a palavra-passe a cada página. Dura enquanto a sessão durar.
• XSRF-TOKEN — prova que um formulário submetido veio mesmo da aplicação e não de um site que tentou submetê-lo à socapa. É uma proteção de segurança.
• remember_web_… (para quem trabalha na creche) e remember_dono_… (para o dono do cão, ponto 8.2) — só existem se marcar «Não perguntar outra vez neste computador» ao entrar, ou «Manter-me dentro» na página do dono: mantêm a sessão iniciada depois de fechar o browser.
• entrou_… (equipa) e dono_entrou_… (dono) — dizem que esta conta já entrou neste browser, para que falhas de palavra-passe vindas de outros sítios não a tranquem aqui. São uma proteção de segurança, duram 180 dias e não guardam o email em claro.

Os dois primeiros também são postos a quem abre a página pública de uma creche ou a página do dono, sem sessão iniciada nenhuma.

A Coleira não usa cookies de publicidade nem de estatísticas, e os únicos cookies que grava no navegador são os quatro próprios e essenciais descritos acima. Por isso não existe banner de consentimento de cookies: cookies estritamente necessários à prestação do serviço pedido estão dispensados de consentimento, e pedir consentimento para algo que não se pode recusar sem deixar de usar o serviço seria pedir um consentimento falso. A plataforma não carrega mapas incorporados. A página pública mostra a ligação externa escolhida pela creche, que também fica visível na pré-visualização normal dessa página nas Definições. A pré-visualização não carrega o mapa; se a pessoa seguir a ligação na página pública ou nessa pré-visualização, o navegador contacta o serviço de destino, fora da página da Coleira.

Ligação externa para o mapa. A plataforma não incorpora nem carrega o serviço de mapas nas páginas públicas ou nas definições. Quando a creche escreve uma morada, a Coleira cria uma ligação de pesquisa Google Maps; quando cola um URL HTTP ou HTTPS, a página pública usa esse destino. As Definições não têm botão de pré-visualização do mapa, mas mantêm a pré-visualização normal da página pública, que mostra a ligação externa. O mapa só abre quando a pessoa escolhe essa ligação na página pública ou nessa pré-visualização. A ligação não envia o endereço da página de origem. Depois da navegação, o destino recebe os dados técnicos normais do pedido, como o endereço IP e a informação do navegador, e a URL, que pode incluir a localização pesquisada. O destino aplica a sua política de privacidade; a Coleira não controla esse tratamento externo nem consegue provar, só pelo URL, a entidade jurídica, os países e as transferências posteriores aplicáveis a cada destino.

8. A página do dono, aberta por um link

O dono do cão não precisa de conta na Coleira. Para lhe mostrar o dia do cão, a creche envia-lhe um link — normalmente por mensagem. Esse link é a credencial: quem o tem, entra. Esse mesmo link serve de convite: o dono pode usá-lo para criar uma palavra-passe e, a partir daí, entrar com o email e essa palavra-passe, sem link nenhum (ponto 8.2). As duas maneiras abrem a mesma página.

Nessa página o dono vê o dia do cão, com as fotografias e os vídeos do dia se a creche os mostrar, e as marcações. Pode também enviar de lá quatro coisas: o comprovativo de vacinação (se a creche o tiver ligado), um reporte de doença, a aceitação do termo de responsabilidade da creche (este só existe se a creche tiver escrito um) e a ficha do cão, que o dono pode preencher e corrigir (se a creche não a tiver desligado). Junto da ficha do cão, o dono preenche e corrige também os seus próprios dados: nome, outro telefone, morada, código postal, localidade e NIF. O telemóvel principal e o email não se mudam aí; muda-os a creche. Cada uma destas quatro tem um limite de envios por hora, contado por link, para que um link reencaminhado não sirva para encher a creche de mensagens.

A ficha grava logo. O que o dono escreve na ficha, a do cão ou a dele, fica gravado no momento, sem a creche aprovar. O dono só mexe numa lista fechada de campos: dos dados dele ficam de fora o email, o telefone principal, as notas internas da creche e quem levanta o cão; da ficha do cão ficam de fora o nome e o estado do cão, o dono a que o cão pertence e o que a creche observa e regista (reatividade, notas de manuseio e avisos) ficam de fora, e a ficha não cria cães. Cada alteração fica no registo de auditoria da creche, com o que estava antes e o que ficou depois, a data, o endereço IP e o navegador de quem a fez. Se o que o dono escreveu e o que a creche escreveu entretanto não coincidirem, nada se grava e o dono vê a ficha atual.

Em concreto, e sem rodeios:

• O link contém uma assinatura criptográfica. Não é adivinhável, e um link de uma creche não abre nada no endereço de outra creche.
• O link é válido durante 30 dias. Passado esse prazo deixa de abrir.
• A creche pode revogar um link a qualquer momento, e a partir daí ele deixa de abrir.
• Um link reencaminhado abre. Se o dono do cão enviar o link a outra pessoa, ou se ele for parar a uma conversa de grupo, quem o receber consegue ver a página do cão e também alterar os dados da ficha dele e os do dono, incluindo o NIF e a morada, não só vê-los: o que escrever fica gravado logo. Não há segundo fator nem verificação de quem está do outro lado.
• Uma alteração indevida fica registada, mas não se desfaz sozinha. A creche vê no registo de auditoria o que mudou e o que lá estava antes, e corrige à mão. Por isso a creche deve rever a ficha de vez em quando, e confirmar o NIF antes de o pôr numa fatura.
• A creche pode desligar a ficha do dono a qualquer momento, e a partir daí essa parte da página deixa de abrir; o resto da página mantém-se.

É por isso que este ponto está aqui, e não escondido: o link deve ser tratado com o mesmo cuidado de uma palavra-passe. Se um link for partilhado por engano, a creche deve revogá-lo e gerar um novo, e rever as alterações feitas à ficha do cão e aos dados do dono no período em causa.

8.1. Cada abertura desta página fica registada

Desde 22 de setembro de 2026, sempre que esta página é aberta fica guardada uma linha com a data e a hora e o endereço IP de onde foi aberta. Guarda-se também quando a abertura é recusada — um link que a creche já cortou, ou que passou dos 30 dias.

Estes dados podem não ser do dono do cão. Como o link abre para quem o tiver, quem fica registado é quem abriu a página. Se o dono reencaminhar o link a outra pessoa, é o endereço IP dessa pessoa que fica guardado. Dizemos isto porque um endereço IP é um dado pessoal, e quem o reencaminha deve saber o que está a fazer.

Para que serve. Se um dia um link for parar a quem não devia, a creche tem de conseguir saber quantas pessoas abriram a página e quando — e é obrigada, por lei e por contrato, a dizê-lo a quem for afetado. Sem este registo ninguém conseguia responder a essa pergunta. Não serve para mais nada: não há perfis, não há publicidade, e o registo não é cruzado com nada.

Duas notas honestas. Estes dados ficam 6 meses e depois são apagados sozinhos pela mesma rotina noturna do ponto 5 — seis meses chegam para investigar uma fuga, e o link só vive 30 dias. E o registo só conta a partir de 22 de setembro de 2026: aberturas anteriores a essa data nunca foram contadas e não há maneira de as recuperar. Se alguma vez lhe disserem que uma página teve zero aberturas antes dessa data, isso quer dizer que ninguém estava a contar, e não que ninguém entrou.

Se o apagamento a pedido apagar um cliente, estes registos desaparecem com os links dele. E se por alguma razão este registo falhar, a página abre na mesma: nunca deixámos alguém sem ver o dia do seu cão por causa de uma linha que não se conseguiu escrever.

8.2. Entrar com email e palavra-passe

O dono pode, se quiser, criar uma conta só para a creche em que o cão está, e entrar com o email e a palavra-passe que escolher. Não há uma conta única da Coleira: o mesmo email numa segunda creche é outra conta, com outra palavra-passe, e uma não abre a outra.

• Como se cria. No link que a creche lhe enviou, o dono escolhe a palavra-passe. Se a creche já tem o email dele na ficha, é esse o email da conta. Se não tem, o dono escreve o email nessa página e o email fica guardado na ficha, como se a creche o tivesse escrito. Esse email não é confirmado no momento: se o dono se enganar, quem tiver a caixa de correio escrita por engano pode pedir uma palavra-passe nova e entrar. Só é aceite um email que nenhuma outra ficha da mesma creche use já numa conta. Quem esquecer a palavra-passe vai ao endereço de entrar da creche, escreve o email e recebe uma mensagem com um link para escolher outra. Esse link vale 60 minutos e só serve uma vez, e a resposta é a mesma exista o email ou não, para que ninguém consiga descobrir quem é cliente de uma creche.
• O que se guarda. A palavra-passe fica guardada só como um hash (uma versão baralhada, que não se desfaz), na ficha do cliente. Nem a creche nem a Coleira a conseguem ler. Rejeitamos palavras-passe curtas e as que já apareceram em fugas públicas, consultando um serviço que só recebe parte de uma impressão digital da palavra-passe, nunca a palavra-passe nem o email.
• Falhar tem limite. Depois de várias tentativas falhadas, a entrada fica bloqueada durante uns minutos, por conta e por endereço.
• A creche pode fechar o acesso a qualquer momento. A palavra-passe é apagada, a página aberta no telemóvel do dono fecha-se no pedido seguinte e o dono volta a depender de um link, ou a criar outra palavra-passe pelo endereço de entrar. Revogar um link não fecha uma conta que já foi criada com ele. Mudar a palavra-passe faz o mesmo às sessões antigas.
• O link assinado continua. Quem entra por link não precisa de conta, e o que está no ponto 8 sobre esses links mantém-se. Enquanto o dono não tem conta, a creche pode enviar-lhe um link novo as vezes que for preciso.
• Apagamento. Se o apagamento a pedido apagar um cliente, a palavra-passe e o que mantém o dono entrado são apagados com a ficha.

Quem entra com palavra-passe não é “aberto por quem tiver o link”: para entrar tem de saber a palavra-passe. Por isso a diferença de risco do ponto 8 (link reencaminhado) não existe aqui, mas existe outra, a de qualquer palavra-passe: se for partilhada ou adivinhada, abre a página. As entradas por conta não entram no registo de aberturas do ponto 8.1, que é só dos links; as tentativas falhadas contam-se apenas para travar excessos, e esse contador não fica guardado de forma permanente.

8.3. O link de pagamento

Se a creche tiver ligado a sua própria conta Stripe, pode mandar ao dono um segundo link, só para pagar, por email ou por WhatsApp. É outro link, com regras próprias:

• Mostra o primeiro nome do cliente, o valor em falta e de que cobranças vem. Não mostra o dia do cão nem as fotografias.
• Também é a credencial: quem o tem, abre. Contém um código aleatório que não se adivinha, e a Coleira guarda-o cifrado.
• É válido durante 180 dias, e a creche pode cancelá-lo antes. Quando já não há nada a pagar, a página di-lo e não deixa pagar.
• Abrir esta página não regista o endereço IP nem o navegador, e o código do link é apagado do registo de acessos ao servidor.
• Ao carregar em «Pagar», o dono passa para uma página do Stripe, na conta da creche, e é aí que escolhe como pagar e escreve os dados de pagamento. O que a Coleira envia ao Stripe e o que guarda está no ponto 6.
• O dinheiro vai para a creche. A Coleira não é parte no pagamento, não cobra comissão e não movimenta dinheiro. Reembolsos e disputas tratam-se entre o dono, a creche e o Stripe; a Coleira só os regista na conta corrente.

9. Direitos de quem está nestes dados

Os artigos 15.º a 22.º do RGPD dão a cada pessoa o direito de:

• Saber que dados existem sobre si e obter uma cópia (artigo 15.º).
• Corrigir o que estiver errado ou incompleto (artigo 16.º).
• Apagar os dados, quando já não sejam necessários (artigo 17.º).
• Limitar o tratamento, enquanto uma contestação é resolvida (artigo 18.º).
• Receber os dados num formato que possa levar para outro lado (artigo 20.º).
• Opor-se a um tratamento assente em interesse legítimo (artigo 21.º).

Não há decisões automatizadas nem definição de perfis na aceção do artigo 22.º: nada na aplicação decide sozinho algo com efeitos sobre uma pessoa.

Levar os dados para outro lado. A plataforma não tem hoje um botão de exportação. A pedido da creche, a Coleira entrega-lhe, no prazo de 10 dias úteis, uma cópia completa dos dados dela: um ficheiro JSON por tabela e os ficheiros carregados (fotografias, vídeos, documentos), sem as palavras-passe de quem trabalha na creche. É daí que a creche pode responder a um pedido de cópia ou de portabilidade de um dono.

A quem se dirige o pedido

Se é dono de um cão, dirija-se à creche. É a creche quem decide o que se faz com os seus dados, é ela que os tem à mão no ecrã, e é a ela que a lei atribui o dever de lhe responder — em regra no prazo de um mês. A Coleira não pode responder por ela, e um pedido enviado à Coleira só atrasaria a resposta.

Escreva à Coleira, para privacidade@coleira.pt, em dois casos: se a creche não lhe responder num prazo razoável, ou se o pedido for sobre dados de que a Coleira é responsável (a sua conta de utilizador, a faturação, ou os registos técnicos e de segurança). No primeiro caso, a Coleira encaminha o pedido à creche, no prazo de 5 dias úteis, e insistir — não tem o direito de decidir sobre dados que não são seus.

10. Segurança

Os dados de cada creche estão isolados dos das outras ao nível da base de dados. As palavras-passe são guardadas apenas como resumos criptográficos não reversíveis por bcrypt, com fator de custo 12, nunca em texto legível. Os ficheiros são servidos por endereços temporários assinados. Existe um registo de auditoria que mostra quem alterou o quê e quando. Nenhuma destas medidas torna um sistema inviolável, e por isso existe também o dever de notificar, que está no ponto seguinte.

O que se tira das fotografias

Uma fotografia tirada com o telemóvel leva normalmente escondida a localização GPS de onde foi tirada, e muitas vezes o modelo do telemóvel e a hora. Desde 24 de setembro de 2026, antes de guardar uma fotografia ou um vídeo (JPEG, PNG, WebP, HEIC, MP4, MOV e 3GP), a aplicação apaga-lhe esses dados escondidos e guarda só a imagem, o perfil de cor e a indicação de para que lado está virada. Se a limpeza falhar, o ficheiro não é guardado. Ficam de fora os PDF e os vídeos WebM, que são guardados como chegam. Os ficheiros carregados antes dessa data não foram limpos e podem ainda ter a localização de onde foram tirados.

Das fotografias JPEG, PNG e WebP a aplicação faz também uma miniatura com 400 píxeis no lado menor, para as galerias abrirem depressa. A miniatura não leva dados escondidos nenhuns, fica guardada ao lado da original e é apagada com ela.

As ligações, ao pormenor

Entre o navegador de quem usa a plataforma e a Coleira, a ligação é cifrada (TLS, com certificado renovado automaticamente, redirecionamento forçado para HTTPS e HSTS). É esta a ligação que atravessa a Internet, e é esta que tem de ser cifrada.

Entre a aplicação e a base de dados, a ligação não é cifrada, e a Coleira prefere dizê-lo a deixar a frase por explicar. Essa ligação não atravessa a Internet: a aplicação e a base de dados correm no mesmo servidor, numa rede interna isolada, e a porta da base de dados está publicada apenas em 127.0.0.1 — ou seja, só é alcançável de dentro da própria máquina. Não está exposta à Internet nem aceita ligações de fora.

11. Se houver uma violação de dados

Se a Coleira tomar conhecimento de um acesso indevido ou perda de dados, avisa as creches afetadas no prazo máximo de 24 horas a contar do momento em que dele tomou conhecimento, com o que souber sobre o que aconteceu e o que está a ser feito. É o prazo que consta do contrato de subcontratação, e existe para que a creche ainda tenha tempo de cumprir o seu.

As 72 horas são da creche, não da Coleira. Cabe à creche, enquanto responsável pelo tratamento, notificar a Comissão Nacional de Proteção de Dados no prazo de 72 horas previsto no artigo 33.º do RGPD e, se for caso disso, informar os donos dos cães. Nos dados de que a Coleira é responsável — contas, faturação, registos de segurança e o correio do próprio domínio —, é a Coleira que faz a notificação.

12. Reclamar à autoridade de controlo

Quem entenda que os seus dados estão a ser tratados em violação da lei pode apresentar reclamação à autoridade de controlo portuguesa:

• Comissão Nacional de Proteção de Dados (CNPD)
• Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa
• www.cnpd.pt

13. Alterações a esta política

Esta política pode mudar quando a aplicação mudar. A data no topo diz sempre qual é a versão em vigor. Alterações com impacto real no que se faz com os dados são comunicadas às creches antes de produzirem efeito.