Política de Privacidade

1. Definições

Para efeitos da presente Política de Privacidade:

• "Dados Pessoais" significa qualquer informação relativa a uma pessoa singular identificada ou identificável.
• "Titular dos Dados" significa a pessoa singular a quem os Dados Pessoais dizem respeito (por exemplo, um proprietário de alojamento, colaborador ou hóspede).
• "Responsável pelo Tratamento" significa a entidade que determina as finalidades e os meios de tratamento dos Dados Pessoais — neste caso, a rapidbounce.
• "Subcontratante" significa a entidade que trata Dados Pessoais por conta do Responsável pelo Tratamento.
• "Subcontratante ulterior" significa um prestador de serviços terceiro contratado por nós para auxiliar no tratamento de Dados Pessoais.
• "Propriedade" significa um hotel, alojamento ou negócio de hotelaria gerido através da Plataforma.
• "Hóspede" significa um indivíduo que efetua uma reserva ou comunica com uma Propriedade através da Plataforma.

2. Responsável pelo Tratamento

O Steganomos é operado conjuntamente por duas entidades afiliadas:

2.1 A Nossa Dupla Função

Relativamente aos dados pessoais tratados através da Plataforma, atuamos em duas qualidades:

• Responsável pelo Tratamento dos dados de proprietários e colaboradores das Propriedades (informações de conta, dados de faturação, dados de utilização), que recolhemos e tratamos para os nossos próprios fins ao abrigo da presente Política de Privacidade.
• Subcontratante dos Dados Pessoais dos hóspedes, que tratamos por conta dos proprietários das Propriedades (os Responsáveis pelo Tratamento dos dados dos seus hóspedes). As nossas obrigações enquanto Subcontratante estão definidas no Acordo de Tratamento de Dados (ATD) incluído como Anexo A dos Termos de Serviço.

Enquanto empresas com menos de 250 colaboradores, não somos obrigados a designar um Encarregado da Proteção de Dados (EPD) ao abrigo do artigo 37.º do RGPD. Contudo, todas as questões relativas à proteção de dados podem ser dirigidas a help@steganomos.com, e responderemos dentro dos prazos previstos na legislação aplicável.

3. Dados Pessoais que Recolhemos

Recolhemos e tratamos diferentes categorias de Dados Pessoais consoante a sua função e interação com a Plataforma:

3.1 Dados de Proprietários e Colaboradores

3.2 Dados de Hóspedes

3.3 Dados Gerados por IA

Quando as comunicações dos hóspedes são processadas através do nosso pipeline de IA, os seguintes dados derivados podem ser gerados:

• Pontuações de análise de sentimento (valores numéricos que refletem o tom percebido)
• Respostas sugeridas para revisão pela equipa da Propriedade
• Resultados de deteção de idioma
• Etiquetas de classificação por tópico
• Correspondências na base de conhecimento

Estes dados são gerados para auxiliar a equipa da Propriedade e estão sempre sujeitos a revisão humana antes de qualquer comunicação ser enviada aos hóspedes. Consulte a Secção 6 para mais detalhes sobre o tratamento por IA.

3.4 Dados de Utilização e Dados Técnicos

• Endereço IP, tipo de navegador, sistema operativo, tipo de dispositivo
• Páginas visitadas, funcionalidades utilizadas, carimbos temporais das interações
• Fontes de referência e duração da sessão
• Registos de erros e dados de desempenho

4. Bases Jurídicas para o Tratamento

Ao abrigo do RGPD, tratamos Dados Pessoais apenas quando dispomos de uma base jurídica válida. O quadro seguinte indica as bases jurídicas em que nos apoiamos:

Quando nos apoiamos em interesses legítimos, realizámos testes de proporcionalidade para assegurar que os nossos interesses não prevalecem sobre os direitos e liberdades fundamentais dos Titulares dos Dados. Poderá solicitar os detalhes destas avaliações contactando-nos.

5. Como Utilizamos os Seus Dados

Utilizamos os Dados Pessoais que recolhemos para as seguintes finalidades:

• Prestação do serviço: Criação e gestão de contas de Propriedades, processamento de reservas, sincronização de disponibilidade e tarifas, emissão de faturas e facilitação da comunicação com hóspedes através de canais de email, WhatsApp e chat.
• Assistência baseada em IA: Análise de mensagens de hóspedes para geração de respostas sugeridas, realização de análise de sentimento, deteção de idiomas e correspondência de consultas com a base de conhecimento da Propriedade. Todos os resultados da IA são revistos pela equipa antes de serem enviados aos hóspedes.
• Gestão de receitas: Fornecimento de recomendações de tarifas, análise concorrencial, previsão de ocupação e análise de desempenho para ajudar as Propriedades a otimizar a sua estratégia de preços.
• Processamento de pagamentos: Facilitação de pagamentos entre hóspedes e Propriedades através da nossa integração com a Stripe. Não armazenamos números de cartão de crédito, CVV ou outras credenciais de pagamento sensíveis nos nossos servidores.
• Apoio ao cliente: Resposta às suas questões, resolução de problemas e prestação de assistência técnica.
• Melhoria da Plataforma: Análise de padrões de utilização, identificação de erros e desenvolvimento de novas funcionalidades para melhorar a Plataforma.
• Cumprimento legal: Manutenção de registos conforme exigido pela legislação fiscal grega, resposta a pedidos legítimos de autoridades reguladoras e aplicação dos nossos Termos de Serviço.
• Segurança: Deteção e prevenção de acessos não autorizados, fraude e outras atividades maliciosas através de limitação de taxa de pedidos, regras de firewall de aplicações web e monitorização.

Não vendemos, alugamos nem comercializamos os seus Dados Pessoais com terceiros para fins de marketing ou publicidade.

6. IA e Tratamento Automatizado

O Steganomos incorpora inteligência artificial para ajudar a equipa das Propriedades a responder às comunicações dos hóspedes de forma mais eficiente. Estamos empenhados na utilização transparente e responsável da IA. Esta secção explica como a IA trata os seus dados.

6.1 O Que a IA Faz

• Analisa as mensagens recebidas dos hóspedes (email, WhatsApp, chat) para compreender a intenção, detetar o idioma e avaliar o sentimento.
• Gera rascunhos de respostas sugeridas para revisão, edição e aprovação pela equipa da Propriedade antes do envio.
• Faz correspondência entre as consultas dos hóspedes e a base de conhecimento da Propriedade para fornecer respostas precisas e contextualizadas.
• Classifica as conversas por tópico e urgência para ajudar a equipa a priorizar a sua carga de trabalho.

6.2 Salvaguardas de Privacidade no Tratamento por IA

• Mascaramento de dados pessoais: Antes de qualquer mensagem de hóspede ser enviada a um modelo de IA, a informação pessoalmente identificável (como nomes, endereços de email, números de telefone e referências de pagamento) é detetada e mascarada utilizando o Microsoft Presidio, uma biblioteca de deteção de dados pessoais de código aberto. O modelo de IA recebe apenas a versão mascarada da mensagem.
• Triagem de segurança: Todos os resultados gerados pela IA são filtrados pelo Google Cloud Model Armor antes de serem apresentados à equipa. Esta camada de segurança filtra conteúdo prejudicial, inadequado ou que viole as políticas.
• Supervisão humana (human-in-the-loop): As respostas geradas pela IA são sempre apresentadas como rascunhos. Nenhuma mensagem é enviada a um hóspede sem ação explícita de um membro autorizado da equipa. As respostas de alta confiança podem ser enviadas automaticamente apenas quando a Propriedade ativou explicitamente esta funcionalidade nas suas definições de IA.
• Cache semântico: Para reduzir chamadas redundantes à IA e melhorar os tempos de resposta, mantemos um cache semântico de pares consulta-resposta anonimizados. Este cache é automaticamente invalidado quando a base de conhecimento da Propriedade é alterada.
• Sem treino de modelos: Os seus dados não são utilizados para treinar ou afinar os modelos de IA subjacentes. Utilizamos serviços de IA com licença comercial (Google Gemini e Anthropic Claude) ao abrigo de termos que proíbem a utilização dos dados de clientes para treino de modelos.

Baseado nos Termos de Serviço da API da Anthropic (plano não-consumidor) e nos Termos de Serviço do Google Cloud Platform em vigor em março de 2026. Revemos periodicamente os termos dos nossos fornecedores de IA para assegurar o cumprimento contínuo deste compromisso.

6.3 Tomada de Decisão Automatizada

A Plataforma não toma quaisquer decisões com efeitos jurídicos ou igualmente significativos sobre indivíduos com base exclusivamente em tratamento automatizado. Os resultados da IA servem como recomendações para a equipa humana. Os hóspedes têm o direito de contestar qualquer comunicação que recebam e de solicitar revisão humana contactando diretamente a Propriedade ou contactando-nos através dos dados indicados na Secção 16.

7. Partilha de Dados e Subcontratantes

Partilhamos Dados Pessoais apenas com prestadores de serviços terceiros ("Subcontratantes ulteriores") necessários para o funcionamento da Plataforma. Cada Subcontratante ulterior está vinculado por um Acordo de Tratamento de Dados (ATD) e é obrigado a tratar os dados apenas conforme as nossas instruções.

7.1 Lista de Subcontratantes Ulteriores

7.2 Quando Podemos Divulgar Dados

Além dos nossos Subcontratantes ulteriores, podemos divulgar Dados Pessoais nas seguintes circunstâncias limitadas:

• Obrigações legais: Quando exigido pela legislação grega ou da UE, decisão judicial ou regulamentação governamental.
• Proteção de direitos: Quando necessário para proteger os direitos, propriedade ou segurança da rapidbounce, dos nossos utilizadores ou do público.
• Transferências empresariais: No âmbito de uma fusão, aquisição ou venda de ativos, caso em que a entidade adquirente ficará vinculada aos termos da presente Política de Privacidade.
• Com o seu consentimento: Em qualquer outra circunstância em que tenhamos obtido o seu consentimento prévio e explícito.

8. Localização dos Dados e Transferências Internacionais

Todo o tratamento e armazenamento primário de dados ocorre na União Europeia, especificamente na região europe-west1 (Bélgica) do Google Cloud Platform. Isto inclui as nossas bases de dados, servidores de aplicação, infraestrutura de tratamento por IA, filas de tarefas e pipelines de análise.

Em casos limitados, os dados podem ser tratados por Subcontratantes ulteriores com infraestrutura fora da UE (por exemplo, Anthropic Claude para análise de texto por IA). Quando tais transferências ocorrem, asseguramos que estão implementadas as salvaguardas adequadas, incluindo:

• Cláusulas Contratuais-Tipo (CCT) da UE, conforme aprovadas pela Comissão Europeia.
• Decisões de adequação da Comissão Europeia, quando aplicável (por exemplo, o Quadro de Privacidade de Dados UE-EUA).
• Acordos de Tratamento de Dados que vinculam contratualmente o Subcontratante ulterior a proteções equivalentes ao RGPD.

Além disso, antes de qualquer conteúdo de mensagem de hóspede ser enviado a modelos de IA que possam ser processados fora da UE, a informação pessoalmente identificável é mascarada (ver Secção 6.2), reduzindo a sensibilidade de quaisquer dados que atravessem fronteiras jurisdicionais.

9. Conservação de Dados

Conservamos os Dados Pessoais apenas pelo tempo necessário para cumprir as finalidades para as quais foram recolhidos, ou conforme exigido por lei. Aplicam-se os seguintes prazos de conservação:

A eliminação de mensagens é automatizada através de uma tarefa agendada que é executada semanalmente e remove as mensagens com mais de 90 dias. Dados anonimizados ou agregados que não possam ser utilizados para identificar indivíduos podem ser conservados indefinidamente para fins analíticos.

10. Segurança dos Dados

Implementamos medidas técnicas e organizativas adequadas para proteger os Dados Pessoais contra acesso não autorizado, alteração, divulgação ou destruição. Estas medidas incluem:

10.1 Medidas Técnicas

• Cifra em trânsito: Todos os dados transmitidos entre os utilizadores e a Plataforma são cifrados utilizando TLS 1.2 ou superior.
• Cifra em repouso: Todos os dados armazenados nas bases de dados do Google Cloud são cifrados em repouso utilizando cifra AES-256 gerida pelo Google Cloud.
• Firewall de aplicações web (WAF): O Google Cloud Armor protege a Plataforma contra ameaças web comuns, incluindo injeção de SQL, cross-site scripting (XSS), execução remota de código e ataques de protocolo.
• Limitação de taxa: Os pontos de acesso à API são protegidos por limitação de taxa (300 pedidos por minuto por endereço IP) para prevenir abusos.
• Controlo de acesso: Controlos de acesso baseados em funções asseguram que os utilizadores só podem aceder a dados relevantes para as suas Propriedades e permissões atribuídas.
• Gestão de segredos: Chaves de API, tokens e credenciais são armazenados no Google Cloud Secret Manager e nunca são codificados diretamente no código da aplicação.
• Restrições de entrada: Os serviços de produção aceitam tráfego apenas através do balanceador de carga; o acesso direto aos serviços de backend está bloqueado.

10.2 Medidas Organizativas

• O acesso aos dados de produção está limitado ao pessoal autorizado, com base no princípio da necessidade de conhecer.
• Mantemos registos de auditoria de ações administrativas e eventos de acesso a dados.
• Realizamos revisões periódicas das nossas práticas de segurança e da conformidade dos Subcontratantes ulteriores.

10.3 Notificação de Violações

Em caso de violação de Dados Pessoais suscetível de resultar num risco para os direitos e liberdades dos indivíduos, notificaremos a autoridade de controlo competente (a Autoridade Helénica de Proteção de Dados — HDPA) no prazo de 72 horas após tomarmos conhecimento da violação, em conformidade com o artigo 33.º do RGPD. Quando a violação for suscetível de resultar num elevado risco, notificaremos igualmente os Titulares dos Dados afetados sem demora injustificada, em conformidade com o artigo 34.º do RGPD.

11. Os Seus Direitos ao Abrigo do RGPD

Enquanto Titular dos Dados, tem os seguintes direitos ao abrigo do RGPD. Pode exercer qualquer um destes direitos contactando-nos através de help@steganomos.com.

Responderemos a todos os pedidos válidos no prazo de 30 dias a contar da receção. Em casos complexos, ou quando recebermos um elevado volume de pedidos, este prazo poderá ser prorrogado por mais 60 dias, caso em que o informaremos da prorrogação e das respetivas razões.

Se considerar que o nosso tratamento dos seus Dados Pessoais viola o RGPD, tem o direito de apresentar uma reclamação junto da Autoridade Helénica de Proteção de Dados (HDPA):

12. Cookies e Tecnologias de Rastreamento

A Plataforma utiliza cookies e tecnologias semelhantes para assegurar o correto funcionamento, melhorar a experiência do utilizador e recolher dados analíticos. Um banner de consentimento de cookies é apresentado na sua primeira visita, podendo gerir as suas preferências a qualquer momento.

12.1 Tipos de Cookies

12.2 Gestão de Cookies

Pode desativar ou eliminar cookies através das definições do seu navegador a qualquer momento. Tenha em atenção que a desativação de cookies estritamente necessários pode comprometer o funcionamento da Plataforma. A maioria dos navegadores permite:

• Visualizar e eliminar cookies existentes
• Bloquear todos ou determinados cookies
• Definir preferências para websites individuais

Para mais informações sobre a gestão de cookies, visite www.aboutcookies.org.

12.3 Etiquetagem do Lado do Servidor

Utilizamos etiquetagem do lado do servidor (SST) para processar tags de análise e marketing através do nosso próprio domínio de primeira parte (data.steganomos.com) em vez de carregar scripts de terceiros diretamente no seu navegador. O nosso servidor de etiquetagem funciona no Google Cloud Platform na região europe-west1 (Bélgica).

Esta abordagem oferece vários benefícios de privacidade:

• Reduz o número de cookies de terceiros definidos no seu navegador.
• Confere-nos maior controlo sobre os dados partilhados com fornecedores de análise e marketing.
• Mantém o tratamento de dados dentro da UE.
• Funciona em conjunto com o Google Consent Mode v2 para assegurar que as tags são acionadas apenas em conformidade com as suas preferências de cookies.

13. Privacidade de Menores

O Steganomos é uma plataforma business-to-business concebida para profissionais de hotelaria. A Plataforma não se destina a indivíduos com idade inferior a 16 anos. Não recolhemos intencionalmente Dados Pessoais de menores. Se tomarmos conhecimento de que recolhemos inadvertidamente dados de um menor de 16 anos, tomaremos medidas imediatas para eliminar tais dados. Se considerar que podemos ter recolhido dados de um menor, contacte-nos imediatamente.

14. Hiperligações para Terceiros

A Plataforma pode conter hiperligações para websites ou serviços de terceiros (por exemplo, motores de reserva, portais de pagamento ou plataformas de redes sociais). Não somos responsáveis pelas práticas de privacidade ou pelo conteúdo desses sites externos. Encorajamo-lo a rever a política de privacidade de qualquer serviço de terceiros antes de fornecer os seus Dados Pessoais.

15. Alterações a Esta Política

Podemos atualizar a presente Política de Privacidade periodicamente para refletir alterações nas nossas práticas, tecnologia, requisitos legais ou outros motivos operacionais. Quando efetuarmos alterações substanciais:

• Atualizaremos a data de "Última atualização" no topo desta página.
• Notificaremos os utilizadores registados por email ou através de uma notificação na Plataforma quando a alteração afetar materialmente o modo como os seus dados são tratados.
• Quando exigido por lei, obteremos novo consentimento antes de implementar alterações nas atividades de tratamento de dados que se baseiam no consentimento como base jurídica.

Encorajamo-lo a rever esta página periodicamente para se manter informado sobre a forma como protegemos os seus dados.

16. Informações de Contacto

Se tiver questões sobre a presente Política de Privacidade, pretender exercer os seus direitos de proteção de dados, ou tiver preocupações sobre a forma como tratamos os seus Dados Pessoais, contacte-nos:

Procuramos responder a todas as consultas no prazo de 5 dias úteis e a todos os pedidos formais de proteção de dados no prazo de 30 dias, conforme exigido pelo RGPD.