Política de privacidade

Data de entrada em vigor: 1 de novembro de 2026

A versão curta

Ninguém lê políticas de privacidade. Por isso, aqui vai tudo em dez linhas, e a versão completa logo abaixo.

• Os teus dados são teus. Para agendamentos feitos através da tua conta Cal.com, tu és o responsável pelo tratamento e nós somos o subcontratante, ao abrigo do Acordo de Tratamento de Dados em cal.com/dpa, que faz parte dos nossos Termos de Serviço para todas as contas, gratuitas ou pagas. Tratamo-los em teu nome e não os vendemos, a ninguém, nunca.
• Recolhemos o mínimo. Nomes, emails, números de telefone e tudo o que as tuas perguntas de agendamento pedirem. Mais a parte técnica aborrecida que qualquer site recebe: endereço IP, browser, páginas vistas.
• Os dados pessoais vivem na base de dados. Não nos nossos logs, não nas nossas análises, não numa folha de cálculo. As nossas próprias regras de engenharia proíbem dados pessoais em logs, relatórios de erro e eventos de análise. Enviamos IDs, não pessoas.
• Usamos subprocessadores e identificamo-los a todos. Alojamento, email, SMS, vídeo, pagamentos, IA, análises, monitorização, suporte e as nossas próprias ferramentas de back-office que podem ver os teus dados. A tabela completa e a finalidade de cada um estão no nosso Trust Center; antes de um novo começar, damos aos proprietários das contas aviso prévio por escrito por email, notificação no produto ou outro método eletrónico documentado, com antecedência suficiente para poderes rever a alteração e opor-te.
• As funcionalidades de IA são opcionais e limitadas. As notas de reunião com IA enviam o texto da transcrição (sem títulos, sem lista de participantes, sem links). Os agentes telefónicos de IA enviam o número de telefone e os detalhes do convidado necessários para fazer a chamada. Nada é usado para treinar modelos de quem quer que seja.
• As tuas aplicações são escolha tua. Quando ligas Google Calendar, Zoom, Salesforce ou um webhook, os dados fluem para lá porque assim o indicaste. Essas são as tuas integrações, sob as tuas instruções.
• Sem cookies de terceiros no produto. O nosso site de marketing usa análises e medição de anúncios. Consulta a secção sobre cookies.
• Podes exportar os teus dados ou apagá-los. A qualquer momento, em self-service ou por email. Apagar significa apagado, incluindo nos nossos subprocessadores.
• Perguntas: [email protected]. Pessoas reais, não um formulário.

Quem é quem: responsável pelo tratamento vs. subcontratante

Isto baralha muita gente, por isso vem primeiro.

Cal.com: prestadores de serviços próprios. Para gerir o nosso próprio negócio, usamos prestadores de serviços que veem os dados de contacto dos nossos clientes, por exemplo a Documenso e a Fusial para assinatura eletrónica de contratos e DPAs (Estados Unidos). Atuam segundo as nossas instruções e não são subprocessadores dos teus dados.

O que isto significa: se fores um participante que agendou uma reunião e quiseres apagar os teus dados, o caminho mais rápido é a pessoa com quem agendaste. Ajudamos de qualquer forma e encaminharemos o pedido.

O que recolhemos

Dados que tu e quem agenda contigo nos fornecem

• Dados da conta: nome, email, nome de utilizador, hash da palavra-passe ou identidade SSO, fuso horário, fotografia de perfil e a tua disponibilidade. No registo, podemos procurar uma fotografia de perfil para o teu endereço de email através da AvatarAPI; podes substituí-la ou removê-la.
• Dados de agendamento: nomes e emails dos participantes, números de telefone quando são usados lembretes por SMS ou chamadas telefónicas, títulos e locais das reuniões, respostas às tuas perguntas de agendamento, notas, listas de convidados, motivos de cancelamento e reagendamento.
• Dados de faturação: nome da empresa, morada de faturação e dados do cartão de pagamento. O cartão vai diretamente para a Stripe, e nós nunca o vemos nem armazenamos.
• Dados de suporte: tudo o que nos escreves, mais o contexto da conta associado à conversa.

Dados que recolhemos automaticamente

• Endereço IP, browser e dispositivo, URL de referência, páginas vistas e marcas temporais.
• Eventos de utilização do produto (que funcionalidades usaste e com que frequência) associados a um ID opaco, não ao teu email.
• Diagnósticos de erro e desempenho quando algo falha.

O que deliberadamente não fazemos

• Não recolhemos dados de categorias especiais de propósito. Mas as tuas perguntas de agendamento podem fazê-lo. Se perguntas sobre saúde, isso são dados de saúde na tua conta Cal.com, e cabe-te a ti pedi-los de forma legal. Consulta “Informações de saúde”.
• Não recolhemos conscientemente dados de menores de 18 anos.
• Não criamos perfis publicitários a partir de dados de agendamento e não vendemos nem alugamos dados pessoais.

O que isto significa: guardamos o que é necessário para colocar uma reunião em dois calendários, faturar-te e dar-te suporte. Os dados pessoais interessantes, as respostas de quem agenda contigo, guardamo-los para ti, não para nós.

Porque temos permissão para o fazer (bases jurídicas, art. 6 do GDPR)

Subprocessadores: quem mais trata dados pessoais

Usamos outras empresas para operar Cal.com. Cada subprocessador tem um acordo de tratamento de dados connosco, recebe apenas o que precisa e trata dados apenas de acordo com as nossas instruções. O que fazem e onde tratam dados está listado no nosso Centro de Confiança.

Como ficas a saber das alterações. Antes de um subprocessador novo ou de substituição começar a tratar Dados Pessoais do Cliente, damos-te aviso prévio por escrito por email para o administrador da tua conta ou contacto de privacidade/jurídico, por notificação no produto ou por outro método eletrónico documentado. Usamos esforços comercialmente razoáveis para o fazer cedo o suficiente para poderes analisar a alteração e opor-te (DPA §6.3-6.4). Atualizar apenas a lista de subprocessadores não é a nossa única forma de dar aviso.

Se te opuseres com fundamentos razoáveis e comprovados de proteção de dados, podes fazê-lo conforme descrito no DPA. Se tiveres perguntas sobre um subprocessador, escreve para [email protected].

Publicidade e identificação de leads (site de marketing e ferramentas de marketing, não o produto)

Estes são geridos pela nossa equipa de marketing, em vez de estarem integrados no código do produto, e só têm acesso a dados do site de marketing e das listas de marketing, nunca a dados de reservas, respostas de participantes ou qualquer coisa da tua conta Cal.com.

Os fornecedores nesta categoria (Google Analytics e Tag Manager, X Ads, atribuição de website da Dub, etiquetas de anúncios da LinkedIn e da Meta) correm apenas no site de marketing com o teu consentimento e estão listados no banner de cookies; não são subprocessadores de dados de reservas.

O que significa: se estiveres no EEE ou no Reino Unido, os fornecedores de correspondência de audiências e identificação de visitantes não correm para ti. Em qualquer outro lugar, podes desativá-los recusando cookies de marketing ou usando o Global Privacy Control.

Aplicações e integrações que ligas

Quando ligas uma aplicação, estás a dizer-nos para enviar dados para ela. Fazemos exatamente isso e nada mais.

• Calendários: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: títulos, descrições, horas, localizações, nomes e emails do organizador e dos participantes, e dados de livre/ocupado.
• Vídeo: Zoom, Google Meet, Microsoft Teams e outros: detalhes da reunião necessários para criar o link.
• CRM e automação: Salesforce, HubSpot, Pipedrive e semelhantes: nome e email do participante, detalhes da reunião e respostas às tuas perguntas de agendamento.
• Automação e links: Zapier, Dub, Close e integrações semelhantes da App Store que ligas correm na tua própria conta junto desse fornecedor.
• Webhooks e o teu próprio servidor SMTP: forneces o endpoint ou servidor de email; recebe tudo o que os eventos que subscreveste contêm.

O que significa: estes são os teus subcontratantes, não os nossos. Aplicam-se as políticas de privacidade deles, e desligar a aplicação interrompe o fluxo. Não conseguimos apagar o que já está no teu CRM.

Informação de saúde (PHI)

Cal.com não é um produto de saúde, mas as reservas podem conter informação de saúde: uma pergunta de admissão, um título de reunião, notas. Se usares Cal.com para qualquer coisa regulada pela HIPAA, esses dados só ficam tão protegidos quanto o acordo por trás deles: pede-nos um Business Associate Agreement (disponível nos planos Teams e superiores; envia email para [email protected] ou fala com o suporte ou vendas) e garante que é assinado antes de os recolheres, a menos que o teu Formulário de Pedido ou outro acordo assinado connosco o permita expressamente, e mantém-nos fora dos campos de agendamento que são copiados para aplicações de terceiros.

Quanto tempo guardamos os dados

Para onde vão os teus dados

Somos uma empresa dos EUA e os dados são tratados nos Estados Unidos; alguns subprocessadores tratam-nos noutros locais (ver a tabela). Para transferências a partir do EEE e do Reino Unido, Cal.com, Inc. participa e certificou a sua conformidade com o Quadro de Privacidade de Dados UE-EUA e a respetiva Extensão do Reino Unido. Quando o Quadro de Privacidade de Dados não cobre uma transferência, e para a Suíça, baseamo-nos nas Cláusulas Contratuais-Tipo da UE de 2021, no Aditamento do Reino Unido e nas alterações suíças, todos preenchidos no nosso Anexo das SCC em cal.com/dpa-scc, que faz parte do DPA, conforme descrito na secção sobre o Quadro de Privacidade de Dados abaixo. Podes verificar a nossa certificação na Lista DPF em https://www.dataprivacyframework.gov/list. O Quadro de Privacidade de Dados Suíça-EUA não se aplica atualmente. Se precisares de residência de dados na UE, contacta-nos através de [email protected].

Quadro de Privacidade de Dados UE-EUA e Extensão do Reino Unido

Cal.com, Inc. cumpre o Quadro de Privacidade de Dados UE-EUA (EU-U.S. DPF) e a Extensão do Reino Unido ao EU-U.S. DPF, conforme definido pelo Departamento de Comércio dos EUA. Cal.com, Inc. certificou junto do Departamento que adere aos Princípios do EU-U.S. DPF para dados pessoais não relativos a RH recebidos da União Europeia e do Espaço Económico Europeu ao abrigo do EU-U.S. DPF, e do Reino Unido e de Gibraltar ao abrigo da Extensão do Reino Unido. Este compromisso não abrange dados de RH de trabalhadores transferidos para uso numa relação laboral. Se esta política entrar em conflito com os Princípios do DPF, prevalecem os Princípios. Sabe mais sobre o programa e vê Cal.com consta da Lista do Data Privacy Framework em https://www.dataprivacyframework.gov/list.

Os dados abrangidos podem incluir nomes, endereços de email, números de telefone, dados de conta e perfil, disponibilidade, detalhes de agendamento e reunião, respostas a perguntas de agendamento, informação de faturação e apoio, e informação sobre site, dispositivo, utilização e segurança. Os clientes podem configurar perguntas de agendamento que recolhem dados sensíveis. Usamos os dados abrangidos para prestar serviços de agendamento e relacionados, gerir contas, agendamentos e pagamentos, comunicar com utilizadores e participantes, prestar apoio, proteger e melhorar o serviço, e realizar marketing quando permitido. Outras secções desta política descrevem estes dados e finalidades com mais detalhe.

Divulgamos dados abrangidos relevantes a prestadores de serviços e subcontratantes para alojamento, armazenamento, email e SMS, vídeo, pagamentos, apoio, analítica, segurança e funcionalidades opcionais, e às integrações selecionadas pelos clientes. O nosso Centro de Confiança lista os subcontratantes e as respetivas finalidades. Também podemos divulgar dados pessoais quando exigido por lei. Ao abrigo do princípio de Responsabilidade por Transferência Subsequente do DPF, Cal.com continua responsável se um agente tratar dados abrangidos de forma inconsistente com os Princípios, a menos que Cal.com prove que não foi responsável pelo evento que deu origem ao dano.

As pessoas podem pedir acesso aos dados abrangidos e pedir-nos para corrigir, alterar ou apagar dados que estejam incorretos ou sejam tratados em violação dos Princípios. Quando o princípio de Escolha do DPF o exigir, as pessoas podem opor-se antes de os dados abrangidos serem divulgados a um terceiro ou usados para uma finalidade substancialmente diferente. Quando esse Princípio exigir consentimento afirmativo para informação sensível, iremos obtê-lo antes da utilização ou divulgação relevante. Envia pedidos para [email protected]. Para dados de agendamento que tratamos segundo as instruções de um cliente, iremos coordenar com esse cliente para responder ao pedido.

As pessoas na UE e no Reino Unido devem enviar primeiro pedidos ou reclamações sobre o DPF para Cal.com, Inc., Privacy & Compliance, 2261 Market Street #4382, San Francisco, CA 94114, Estados Unidos; [email protected]; +1 415 212 6667. Felix Kolodziej, responsável de Conformidade, também pode ser contactado em [email protected]. Responderemos a reclamações sobre o DPF no prazo de 45 dias. Para reclamações não resolvidas sobre dados abrangidos, comprometemo-nos a cooperar com o painel estabelecido pelas autoridades de proteção de dados da UE, e a cumprir o seu aconselhamento, no que respeita a dados da UE, e com o Information Commissioner’s Office do Reino Unido e a Gibraltar Regulatory Authority no que respeita a dados do Reino Unido e de Gibraltar. Estes mecanismos independentes de recurso estão disponíveis sem custos para as pessoas.

Cal.com, Inc. está sujeita aos poderes de investigação e execução da U.S. Federal Trade Commission quanto à sua conformidade com o EU-U.S. DPF e a UK Extension. Em certas condições, as pessoas podem recorrer a arbitragem vinculativa para reclamações residuais sobre a conformidade com o DPF. Podemos ser obrigados a divulgar dados abrangidos em resposta a pedidos legais de autoridades públicas, incluindo para cumprir requisitos de segurança nacional ou aplicação da lei.

Cookies

• Na app: cookies para iniciares sessão, lembrar preferências e segurança. Sem cookies de publicidade de terceiros.
• No site de marketing: os cookies de analítica e medição de anúncios indicados acima. Podes recusá-los.
• Respeitamos os sinais Global Privacy Control e Do Not Track.

Os teus direitos

Onde quer que vivas, podes pedir-nos para: aceder aos teus dados, corrigi-los, apagá-los, exportá-los, limitar ou opor-te ao tratamento, ou retirar o consentimento. Se estiveres na Califórnia, acrescenta: saber o que recolhemos, apagar esses dados, corrigi-los e optar por não permitir a venda ou partilha. Não vendemos nem partilhamos esses dados, por isso não há nada a que te opor. Se estiveres no EEE ou no Reino Unido, também podes reclamar junto da tua autoridade de proteção de dados.

Podes tratar da maior parte disto diretamente nas tuas definições. Caso contrário, envia um email para [email protected] e responderemos dentro dos prazos exigidos pela lei aplicável. Primeiro vamos pedir-te que confirmes a tua identidade, e não serás tratado de forma desfavorável por fazeres o pedido.

Segurança

Encriptação em trânsito e em repouso, acesso com privilégio mínimo, SSO e 2FA, infraestrutura auditada e um programa de bug bounty. Detalhes e os nossos relatórios atuais: cal.com/security. Nenhum sistema é perfeitamente seguro; se algo correr mal, informaremos os clientes afetados sem atrasos indevidos depois de tomarmos conhecimento de uma violação de dados pessoais, conforme exige o nosso DPA.

Alterações a esta política

Publicaremos a nova versão aqui e atualizaremos a data de entrada em vigor. Para qualquer alteração material, como uma nova categoria de subcontratante ou uma nova utilização de dados, iremos notificar-te antes de entrar em vigor por email, notificação no produto ou outro método eletrónico documentado.

Contacto

Contacto de privacidade: [email protected]

Representante na UE (GDPR Art. 27): Felix Kolodziej, CAYA Postbox 1040588, 96035 Bamberg, Alemanha, [email protected]

Notificações formais: Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, Estados Unidos, com cópia para [email protected]

Tudo o resto: [email protected]

Arquivo da política de privacidade