Política de privacidade

O Mesa é uma plataforma de descoberta de restaurantes, reservas e jantares em conjunto, em Portugal e Espanha, disponível no site e nas apps móveis (Mesa e Mesa Partners). Esta política explica que dados tratamos, para quê, e os teus direitos.

O responsável pelo tratamento dos teus dados é Exuberant Rest - Unipessoal Lda., NIPC 519625757, com sede na Rua Jorge Dias, 17, 4.º E, 4400-484 Vila Nova de Gaia, Portugal. Para qualquer questão sobre dados pessoais: ola@mesapp.pt.

Conta: email, nome apresentado e, se escolheres, foto/avatar. Telefone, opcional, para verificar a conta e para o restaurante te poder ligar. Data de nascimento, opcional: pedimo-la quando queres abrir ou entrar numa mesa aberta, porque as mesas têm faixa etária; guardamos a data e nunca mostramos a tua idade a ninguém. Ao criar conta declaras ter pelo menos 18 anos. Autenticação gerida pelo nosso fornecedor de infraestrutura (Supabase), com sessão segura.

Reservas: restaurante, data, hora, número de pessoas, o nome/contacto que indicares e as mensagens que trocares com o restaurante na conversa da reserva, partilhados com o restaurante reservado para gerir a tua reserva.

Conteúdo que publicas: bio, cidade, cozinhas favoritas, fotos e vídeos que envias, avaliações, o valor que indicares ter pago por pessoa (opcional) e as mensagens, com texto e fotos, em mesas abertas e grupos.

Atividade social (opcional): listas, amigos, grupos e mesas abertas que criares. As tuas listas são privadas por omissão; só tu decides torná-las visíveis para amigos ou públicas.

Denúncias e bloqueios: quem denunciou ou bloqueou quem, o motivo e a nota que escreveres. Só a equipa Mesa lê as denúncias. A pessoa bloqueada não é avisada.

Identificadores: o teu id de utilizador e, só se ativares notificações, o identificador técnico do dispositivo.

Verificação de identidade (mesas abertas): o resultado da verificação (aprovada, recusada, em revisão ou expirada), a data e se tens 18 anos ou mais. Os dados da verificação em si (documento, selfie, dados biométricos) ficam no Didit e não chegam ao Mesa; ver a secção "Verificação de identidade (mesas abertas)", mais abaixo.

Localização (opcional): só quando a app está aberta, nunca em segundo plano, e só se deres permissão no telemóvel. Para ordenar os restaurantes por proximidade e detetar a tua cidade, a app usa a tua posição e não a guarda. Há dois casos em que a posição fica guardada, sempre com a tua permissão: no "Fui lá", se estiveres a menos de 300 metros do restaurante quando publicas, a publicação fica marcada como presença confirmada e guardamos as coordenadas desse momento com ela, para provar que estiveste lá (se estiveres mais longe, a posição não é guardada); e no radar das mesas abertas, se escolheres usar a tua localização, guardamos esse ponto aproximado para te avisar de mesas abertas perto de ti (sem ele, usamos só a cidade do teu perfil). Apagas a publicação ou desligas o radar quando quiseres. Não guardamos histórico de localização.

Compras na app: os Spins extra compram-se à parte, pela App Store da Apple. O pagamento é feito e guardado pela Apple: o Mesa não vê o teu cartão nem outros meios de pagamento. Guardamos o registo da compra (a quantidade, a data e o identificador da transação da Apple), ligado à tua conta, para te dar os Spins e não os dar duas vezes.

Notificações (opcional): se as ativares, guardamos o identificador técnico do dispositivo para enviar atualizações das tuas reservas, mesas e grupos.

Diagnóstico na app: quando a app falha, registamos a mensagem de erro, o ecrã onde aconteceu, a versão da app e o teu id, para corrigir a falha, e apagamos estes registos ao fim de 30 dias. Nada disto é usado para publicidade.

Quando reservas, o restaurante vê o seguinte, para gerir a tua mesa, evitar faltas e evitar reservas duplicadas:

A reserva: a data, a hora, o número de pessoas, o teu nome e contacto e o pedido especial que escreveres.

O teu historial nessa casa: quantas vezes já lá foste, quantas vezes faltaste sem avisar e as reservas que tiveste nesse restaurante.

Faltas noutros restaurantes do Mesa: apenas um número, o total de faltas em outros restaurantes do Mesa nos últimos 12 meses. Nunca dizemos quais restaurantes.

Outra reserva na mesma altura: se tens outra reserva ativa por volta da mesma hora, o restaurante vê apenas que existe, sem saber onde. Serve para evitar reservas duplicadas. Tu vês, antes de reservar, em que restaurante já tens mesa e podes decidir reservar na mesma.

Instagram e LinkedIn: só se ativares "Mostrar as redes ao restaurante" (ao reservar ou no teu perfil). Por omissão está desligado e podes desligá-lo a qualquer momento.

As mesas abertas juntam pessoas que não se conhecem. Para ninguém jantar com contas falsas ou com menores, quem quer usar as mesas abertas verifica primeiro a identidade e a idade. Os Grupos com amigos não precisam desta verificação.

Quem a faz: o Didit (Didit Identity Spain, S.L., com sede em Barcelona, Espanha), por nossa conta e segundo as nossas instruções, como subcontratante, ao abrigo de um contrato de tratamento de dados (art. 28.º do RGPD). Segundo o Didit, os dados ficam alojados na União Europeia (Irlanda). Somos nós que decidimos porque e como os dados são tratados, por isso somos o responsável pelo tratamento.

Que dados são tratados: uma fotografia do teu documento de identificação e os dados que nele constam, uma selfie com prova de vida (para confirmar que és uma pessoa real e não uma fotografia), a comparação da tua cara com a do documento, que produz dados biométricos (categoria especial, art. 9.º do RGPD), e o endereço IP.

Para que serve: só para confirmar que és uma pessoa real, que a tua cara bate com o documento e que tens 18 anos ou mais, para a segurança dos jantares entre desconhecidos. Não usamos estes dados para mais nada.

O que guardamos nós: só o resultado e se tens 18 anos ou mais, enquanto tiveres conta. A data de nascimento do documento é usada só para calcular a idade e não é guardada. Não guardamos a imagem do documento, o número do documento, a selfie nem dados biométricos. O resultado é privado: não aparece no teu perfil nem é mostrado a mais ninguém.

O que guarda o Didit: as imagens e os dados da verificação, por um máximo de 30 dias, e depois apaga-os. Se apagares a conta antes, esse prazo mantém-se; se quiseres que sejam apagados já, escreve-nos antes de apagares a conta e pedimos ao Didit a eliminação imediata. O Didit trata ainda alguns dados por conta própria, para segurança e prevenção de abusos, como explica na política de privacidade dele.

Base legal: o teu consentimento explícito (art. 9.º, n.º 2, alínea a) do RGPD), que dás numa caixa própria antes de a verificação começar. Sem consentimento a verificação não começa.

Se não quiseres verificar: a escolha é tua. Sem verificação não podes usar as mesas abertas; o resto do Mesa, incluindo os Grupos, continua a funcionar.

Retirar o consentimento: podes retirá-lo quando quiseres, escrevendo para ola@mesapp.pt ou apagando a conta. Apagamos o resultado da verificação, pedimos ao Didit que apague os dados e deixas de poder usar as mesas abertas até verificares de novo. Retirar o consentimento não afeta o tratamento feito até aí.

Se a verificação falhar: podes tentar outra vez, até 3 vezes por dia. Se achas que foi um engano, escreve para ola@mesapp.pt e uma pessoa da equipa Mesa revê o caso.

Gerir a tua conta, as tuas reservas e as tuas compras: para cumprir o contrato contigo.

Localização e notificações: com o teu consentimento, que podes retirar a qualquer momento nas definições do telemóvel.

Verificação de identidade: com o teu consentimento explícito (art. 9.º, n.º 2, alínea a) do RGPD), que dás antes de começar e podes retirar a qualquer momento.

Segurança, denúncias e diagnóstico: com base no nosso interesse legítimo em manter a comunidade segura e a plataforma a funcionar.

Faltas e reservas duplicadas: os restaurantes têm um interesse legítimo (art. 6.º, n.º 1, alínea f) do RGPD) em reduzir faltas e reservas duplicadas, que lhes custam uma mesa vazia. Por isso só mostramos números (a contagem de faltas dos últimos 12 meses e a existência de outra reserva na mesma altura), nunca os nomes de outros restaurantes, e só olhamos 12 meses para trás. A reserva em si assenta na execução do contrato contigo.

Instagram e LinkedIn: com o teu consentimento, que podes retirar a qualquer momento no teu perfil.

Não vendemos os teus dados. Não usamos os teus dados para publicidade de terceiros. Não há SDKs de analítica nem de publicidade nas apps nem no site. Não recolhemos dados de localização em segundo plano. Não guardamos o teu cartão nem outros meios de pagamento. Não criamos avaliações, números de utilização ou popularidade fabricados.

Com o restaurante onde reservas (os detalhes da reserva e o que está descrito em "O que o restaurante vê sobre ti quando reservas"). Com fornecedores que tratam dados por nossa conta (subcontratantes), cada um só para o seu fim e ao abrigo de um contrato de tratamento de dados. Com autoridades, quando a lei nos obrigar. Nada mais. Os subcontratantes, com o país de cada empresa, são:

• Supabase (Estados Unidos): base de dados, autenticação e ficheiros, em servidores da AWS em Londres (Reino Unido).
• Vercel (Estados Unidos): alojamento do site e registos técnicos de acesso.
• Resend (Estados Unidos): envio de emails.
• Vonage (Estados Unidos): SMS de confirmação das reservas e códigos de verificação do telemóvel. Em alternativa: Brevo (França), MessageBird (Países Baixos) ou Twilio (Estados Unidos).
• Expo (Estados Unidos): envio das notificações e das atualizações da app.
• Apple e Google (Estados Unidos): entrega das notificações no iPhone e no Android; a Apple trata também as compras na App Store e a Google fornece os mapas na app Android (Google Maps).
• Anthropic (Estados Unidos): assistente de pesquisa e tradução das descrições dos restaurantes. Recebe só o texto que escreves no assistente ou a descrição a traduzir, nunca o teu nome nem o teu contacto.
• InvoiceXpress (Portugal): faturação dos restaurantes parceiros.
• Didit (Espanha): verificação de identidade das mesas abertas, descrita acima.

Alguns destes fornecedores estão fora da União Europeia, sobretudo nos Estados Unidos; nesses casos a transferência assenta no Quadro de Privacidade de Dados UE-EUA ou nas cláusulas contratuais-tipo da Comissão Europeia. O Reino Unido tem uma decisão de adequação da Comissão Europeia.

Imagens e vídeos de terceiros: alguns vídeos e imagens de ilustração do site e das apps (do Mixkit e do Unsplash) são carregados diretamente dos servidores desses serviços. Quando isso acontece, eles veem o teu endereço IP e o tipo de aparelho, como em qualquer pedido de rede. Não lhes enviamos mais nada e não são nossos subcontratantes.

O Mesa é só para maiores de 18 anos. Quem cria conta declara ter pelo menos 18 anos e, para usar as mesas abertas, a idade é confirmada pela verificação de identidade descrita acima. Não criamos contas a menores de 18 anos. Se soubermos de uma, apagamo-la.

Guardamos os dados enquanto tiveres conta, com estas exceções:

• Notificações enviadas: o registo técnico, que inclui o nome e o contacto da reserva, é apagado ao fim de 90 dias.
• Erros da app: o diagnóstico é apagado ao fim de 30 dias.
• Verificação de identidade: no Mesa, só o resultado e os 18+, enquanto tiveres conta; no Didit, as imagens e os dados da verificação, até 30 dias.
• Denúncias: ficam na fila da equipa Mesa até serem tratadas.
• Obrigações legais: o que a lei nos obrigar a guardar, pelo prazo que a lei fixar.
• Cópias de segurança e moderação: depois de apagares a conta, podem manter dados por um curto período.

Podes apagar a conta quando quiseres, na app (Perfil, Definições, Apagar a minha conta) ou escrevendo para ola@mesapp.pt, sem justificação. Na app o efeito é imediato e não se desfaz. Se a tua conta é responsável por um restaurante no Mesa, escreve-nos primeiro.

O que é apagado: o perfil (nome, foto, biografia, telefone e data de nascimento), as fotos e os vídeos que publicaste, as listas, os amigos, as avaliações, as mensagens que escreveste nas mesas abertas, nos grupos e nas conversas das reservas, os grupos e as mesas abertas que criaste (que deixam de existir também para os outros participantes), as definições do radar (incluindo o ponto de localização), os dispositivos registados para notificações, o registo das compras de Spins e o resultado da verificação de identidade.

O que fica sem ligação a ti: as reservas ficam no restaurante sem o teu nome, telefone nem pedido especial, para ele poder fechar contas. Isto vale também para as reservas futuras: não são canceladas, por isso cancela-as antes de apagares a conta se não queres que o restaurante as mantenha. As denúncias que fizeste são apagadas com a conta; as denúncias feitas contra ti ficam na fila da equipa, sem ligação a nenhuma conta, até serem tratadas.

O que demora mais: o Didit apaga os dados da verificação no prazo máximo de 30 dias, mesmo que a conta já tenha sido apagada. As fotos que enviaste nas conversas deixam de aparecer, mas os ficheiros ainda não são apagados automaticamente do armazenamento: se quiseres que os apaguemos, escreve-nos.

Tens direito de acesso, retificação, apagamento, portabilidade, oposição (art. 21.º do RGPD, incluindo ao tratamento baseado em interesse legítimo, como o das faltas e reservas duplicadas) e limitação do tratamento dos teus dados. Quando o tratamento assenta no teu consentimento (localização, redes no perfil, verificação de identidade), podes retirá-lo a qualquer momento, sem afetar o que já foi tratado. Escreve para ola@mesapp.pt e tratamos do resto, no prazo máximo de um mês. Podes também apresentar reclamação à CNPD, Comissão Nacional de Proteção de Dados, ou à autoridade de proteção de dados do país onde vives (em Espanha, a AEPD).

O site não define cookies. Guarda no armazenamento local do teu browser a língua, as tuas preferências (cidade, filtros, restaurantes guardados, limite diário do Spin) e a tua sessão, só para o Mesa funcionar. Não usamos cookies de terceiros nem de publicidade, nem ferramentas de analítica, por isso não há nenhum aviso de cookies para aceitares.

Para qualquer questão de privacidade: ola@mesapp.pt. As regras de utilização estão nos termos de utilização.