Política de privacidade - Arquivada V1

Estás a ver uma versão arquivada da nossa Política de Privacidade. Visita a versão mais recente para obteres informação atualizada.

Ver a política de privacidade mais recente

Data de entrada em vigor: 1 de outubro de 2026 - 31 de outubro de 2026

A versão curta

Ninguém lê políticas de privacidade. Por isso, aqui fica tudo em dez linhas, e a versão completa abaixo.

• Os teus dados são teus. Para reservas feitas através da tua conta Cal.com, tu és o responsável pelo tratamento e nós somos o subcontratante. Tratamo-los em teu nome e não os vendemos a ninguém, nunca.
• Recolhemos o mínimo. Nomes, emails, números de telefone e tudo o que as tuas perguntas de reserva pedirem. Além das coisas técnicas aborrecidas que todos os sites recebem: endereço IP, navegador, páginas vistas.
• A base de dados é onde vivem os dados pessoais. Não nos nossos registos, não nas nossas análises, não numa folha de cálculo. As nossas regras de engenharia proíbem dados pessoais em registos, relatórios de erro e eventos de análise. Enviamos IDs, não pessoas.
• Usamos subcontratantes e nomeamo-los a todos. Email, SMS, vídeo, pagamentos, IA, armazenamento, suporte. A tabela completa e a finalidade de cada um estão no nosso Centro de Confiança.
• As funcionalidades de IA são opcionais e limitadas. As notas de reunião com IA enviam o texto da transcrição (sem títulos, sem lista de participantes, sem links). Os agentes telefónicos de IA enviam o número de telefone e os dados do convidado necessários para efetuar a chamada. Nada é usado para treinar modelos de ninguém.
• Tu escolhes as tuas aplicações. Quando ligas Google Calendar, Zoom, Salesforce ou um webhook, os dados vão para lá porque assim o indicaste. Essas são as tuas integrações, segundo as tuas instruções.
• Sem cookies de terceiros no produto. O nosso site de marketing usa análises e medição de anúncios. Vê a secção sobre cookies.
• Podes exportar os teus dados ou apagá-los. A qualquer momento, por autosserviço ou por email. Apagar significa apagado, incluindo nos nossos subcontratantes.
• Perguntas: [email protected]. Pessoas reais, não um formulário.

Quem é quem: responsável pelo tratamento vs. subcontratante

Isto costuma confundir as pessoas, por isso vem primeiro.

O que significa: se és um participante que reservou uma reunião e queres que os teus dados sejam apagados, o caminho mais rápido é a pessoa com quem reservaste. Ajudamos de qualquer forma e encaminhamos o pedido.

O que recolhemos

Dados que tu e quem reserva contigo nos fornecem

• Dados da conta: nome, email, nome de utilizador, hash da palavra-passe ou identidade SSO, fuso horário, foto de perfil e a tua disponibilidade.
• Dados de reservas: nomes e emails dos participantes, números de telefone quando são usados lembretes por SMS ou chamadas telefónicas, títulos e localizações das reuniões, respostas às tuas perguntas de reserva, notas, listas de convidados, motivos de cancelamento e reagendamento.
• Dados de faturação: nome da empresa, morada de faturação e dados do cartão de pagamento. O cartão vai diretamente para Stripe, e nós nunca o vemos nem armazenamos.
• Dados de suporte: tudo o que nos escreves, mais o contexto da conta associado à conversa.

Dados que recolhemos automaticamente

• Endereço IP, navegador e dispositivo, URL de referência, páginas vistas e carimbos de data/hora.
• Eventos de utilização do produto (que funcionalidades usaste, com que frequência) associados a um ID opaco, não ao teu email.
• Diagnósticos de erro e desempenho quando algo falha.

O que deliberadamente não fazemos

• Não recolhemos deliberadamente dados de categorias especiais. Mas as tuas perguntas de reserva podem fazê-lo. Se perguntares sobre saúde, isso são dados de saúde na tua conta Cal.com, e cabe-te a ti pedi-los de forma lícita. Consulta "Informação de saúde".
• Não recolhemos conscientemente dados de menores de 18 anos.
• Não criamos perfis publicitários a partir de dados de reservas e não vendemos nem alugamos dados pessoais.

O que significa: guardamos o necessário para colocar uma reunião em dois calendários, faturar-te e apoiar-te. Os dados pessoais interessantes, as respostas de quem reserva contigo, guardamo-los para ti, não para nós.

Porque o podemos fazer (bases legais, art. 6.º do GDPR)

Subcontratantes: quem mais toca em dados pessoais

Usamos outras empresas para operar Cal.com. Todos os subcontratantes têm um acordo de tratamento de dados connosco, só recebem o que precisam e só tratam dados segundo as nossas instruções. O que fazem e onde tratam dados está listado no nosso Centro de Confiança.

Como ficas a saber das alterações. De acordo com o nosso Acordo de Tratamento de Dados, podemos adicionar ou substituir subcontratantes para fornecer, operar, proteger e apoiar Cal.com. Quando exigido pelo DPA, avisar-te-emos antes de um subcontratante novo ou substituto começar a tratar Dados Pessoais do Cliente.

Se te opuseres com fundamentos razoáveis e comprovados de proteção de dados, podes fazê-lo conforme descrito no DPA. Se tiveres dúvidas sobre um subcontratante, escreve para [email protected].

Publicidade e identificação de leads (site de marketing e ferramentas de marketing, não o produto)

Estes são geridos pela nossa equipa de marketing, em vez de estarem integrados no código do produto, e só veem dados do site de marketing e das listas de marketing, nunca dados de agendamento, respostas de participantes ou qualquer coisa da tua conta Cal.com.

O que significa: se estiveres no EEE ou no Reino Unido, os fornecedores de correspondência de públicos e identificação de visitantes não são executados para ti. Em qualquer outro lugar, podes desativá-los ao recusar cookies de marketing ou ao usar o Global Privacy Control.

Aplicações e integrações que ligas

Quando ligas uma aplicação, estás a dizer-nos para enviar dados para ela. Fazemos exatamente isso e nada mais.

• Calendários: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: títulos, descrições, horas, localizações, nomes e emails do organizador e dos participantes, e dados de disponibilidade livre/ocupado.
• Vídeo: Zoom, Google Meet, Microsoft Teams e outros: detalhes da reunião necessários para criar o link.
• CRM e automatização: Salesforce, HubSpot, Pipedrive e semelhantes: nome e email do participante, detalhes da reunião e as tuas respostas às perguntas de agendamento.
• Webhooks e o teu próprio servidor SMTP: tu forneces o endpoint ou servidor de email; ele recebe tudo o que os eventos a que subscreveste contêm.

O que significa: estes são os teus subcontratantes, não os nossos. Aplicam-se as políticas de privacidade deles, e desligar a aplicação interrompe o fluxo. Não podemos apagar o que já está no teu CRM.

Informação de saúde (PHI)

Cal.com não é um produto de saúde, mas os agendamentos podem conter informação de saúde: uma pergunta de admissão, um título de reunião, notas. Se usares Cal.com para algo regulado pela HIPAA, esses dados só ficam tão protegidos quanto o acordo por trás deles: garante que tens um BAA em vigor em go.Cal.com/BAA antes de os recolheres, e mantém-nos fora dos campos de agendamento que são copiados para aplicações de terceiros.

Durante quanto tempo os guardamos

Para onde vão os teus dados

Somos uma empresa dos EUA e os dados são tratados nos Estados Unidos. Alguns subcontratantes tratam-nos noutros locais. Para transferências do EEE ou do Reino Unido para os Estados Unidos, recorremos ao Quadro de Privacidade de Dados UE-EUA e à respetiva Extensão do Reino Unido, quando aplicável, conforme descrito abaixo. Também usamos Cláusulas Contratuais-Tipo quando apropriado, incluindo para transferências a partir da Suíça. Se precisares de residência de dados na UE, contacta-nos em [email protected].

Quadro de Privacidade de Dados UE-EUA e Extensão do Reino Unido

A Cal.com, Inc. cumpre o Quadro de Privacidade de Dados UE-EUA (EU-U.S. DPF) e a Extensão do Reino Unido ao EU-U.S. DPF, conforme estabelecido pelo Departamento de Comércio dos EUA. A Cal.com, Inc. certificou ao Departamento que adere aos Princípios do EU-U.S. DPF para dados pessoais não relacionados com RH recebidos da União Europeia e do Espaço Económico Europeu com base no EU-U.S. DPF, e do Reino Unido e de Gibraltar com base na Extensão do Reino Unido. Este compromisso não abrange dados de RH de funcionários transferidos para uso numa relação laboral. Se esta política entrar em conflito com os Princípios do DPF, prevalecem os Princípios. Sabe mais sobre o programa e, quando a Cal.com aparecer na Lista do Data Privacy Framework, consulta a sua entrada em dataprivacyframework.gov.

Os dados abrangidos podem incluir nomes, endereços de email, números de telefone, dados de conta e perfil, disponibilidade, detalhes de agendamento e reunião, respostas a perguntas de agendamento, informações de faturação e apoio, e informações de website, dispositivo, utilização e segurança. Os clientes podem configurar perguntas de agendamento que recolham dados sensíveis. Usamos os dados abrangidos para fornecer serviços de agendamento e serviços relacionados, gerir contas, reservas e pagamentos, comunicar com utilizadores e participantes, prestar apoio, proteger e melhorar o serviço, e fazer marketing quando permitido. Outras secções desta política descrevem estes dados e finalidades em mais detalhe.

Divulgamos dados abrangidos relevantes a prestadores de serviços e subcontratantes para alojamento, armazenamento, email e SMS, vídeo, pagamentos, apoio, análises, segurança e funcionalidades opcionais, e a integrações escolhidas pelos clientes. O nosso Centro de Confiança lista os subcontratantes e as suas finalidades. Também podemos divulgar dados pessoais quando exigido por lei. Ao abrigo do Princípio de Responsabilidade por Transferência Subsequente do DPF, a Cal.com continua responsável se um agente tratar dados abrangidos de forma incompatível com os Princípios, a menos que a Cal.com prove que não foi responsável pelo evento que deu origem ao dano.

As pessoas podem pedir acesso aos dados abrangidos e pedir-nos que corrijamos, alteremos ou apaguemos dados que estejam incorretos ou que sejam tratados em violação dos Princípios. Quando o Princípio de Escolha do DPF o exigir, as pessoas podem optar por não participar antes de os dados abrangidos serem divulgados a terceiros ou usados para uma finalidade substancialmente diferente. Quando esse Princípio exigir consentimento afirmativo para informações sensíveis, obtê-lo-emos antes da utilização ou divulgação relevante. Envia pedidos para [email protected]. Para dados de agendamento que tratamos segundo as instruções de um cliente, coordenaremos com esse cliente para responder ao pedido.

As pessoas na UE e no Reino Unido devem primeiro enviar pedidos de informação ou reclamações sobre o DPF para Cal.com, Inc., Privacy & Compliance, 2261 Market Street #4382, San Francisco, CA 94114, United States; [email protected]; +1 415 212 6667. Felix Kolodziej, Responsável de Conformidade, também pode ser contactado em [email protected]. Responderemos a reclamações sobre o DPF no prazo de 45 dias. Para reclamações não resolvidas sobre dados abrangidos, comprometemo-nos a cooperar com e a cumprir o parecer do painel estabelecido pelas autoridades de proteção de dados da UE para dados da UE, e pelo UK Information Commissioner’s Office e pela Gibraltar Regulatory Authority para dados do Reino Unido e de Gibraltar. Estes mecanismos independentes de recurso estão disponíveis gratuitamente para as pessoas.

A Cal.com, Inc. está sujeita aos poderes de investigação e execução da Comissão Federal do Comércio dos EUA no que respeita à sua conformidade com o EU-U.S. DPF e a UK Extension. Em determinadas condições, as pessoas podem recorrer a arbitragem vinculativa para reclamações residuais sobre a conformidade com o DPF. Podemos ser obrigados a divulgar dados abrangidos em resposta a pedidos legais de autoridades públicas, inclusive para cumprir requisitos de segurança nacional ou de aplicação da lei.

Cookies

• Na aplicação: cookies para iniciar sessão, lembrar preferências e garantir a segurança. Sem cookies de publicidade de terceiros.
• No site de marketing: os cookies de análise e medição de anúncios listados acima. Podes recusá-los.
• Respeitamos os sinais Global Privacy Control e Do Not Track.

Os teus direitos

Onde quer que vivas, podes pedir-nos para: aceder aos teus dados, corrigir-los, apagar-los, exportar-los, restringir ou opor-te ao tratamento, ou retirar o consentimento. Se estiveres na Califórnia, acrescenta: saber o que recolhemos, apagá-lo, corrigi-lo e recusar a venda ou partilha. Não o vendemos nem partilhamos, por isso não há nada a recusar. Se estiveres no EEE ou no Reino Unido, também podes reclamar junto da tua autoridade de proteção de dados.

A maior parte disto podes fazer tu nas definições. Caso contrário, envia um email para [email protected] e responderemos no prazo de 30 dias. Primeiro vamos pedir-te que confirmes a tua identidade, e não te vamos tratar pior por o fazeres.

Segurança

Encriptação em trânsito e em repouso, acesso com privilégios mínimos, SSO e 2FA, infraestrutura auditada e um programa de bug bounty. Detalhes e os nossos relatórios atuais: cal.com/security. Nenhum sistema é perfeitamente seguro; se algo correr mal, avisaremos os clientes afetados sem demora desnecessária e de acordo com o nosso acordo de tratamento de dados.

Alterações a esta política

Publicaremos a nova versão aqui e atualizaremos a data de entrada em vigor. Para qualquer alteração material, como uma nova categoria de subcontratante ou uma nova utilização de dados, enviar-te-emos um email antes de entrar em vigor.

Contacto

Encarregado da proteção de dados: [email protected]
Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, Estados Unidos

Representante na UE (GDPR Art. 27): Felix Kolodziej, [email protected], morada mediante pedido

Tudo o resto: [email protected]