Privacidade e condições

Quem vende bilhetes trata dados de pessoas: um nome, um endereço de e-mail, por vezes uma morada. Isso traz regras. Este artigo explica em linguagem corrente o que essas regras implicam, o que tratámos por si e — a parte que mais vezes se esquece — o que tem de escrever antes de vender o primeiro bilhete.

Isto não é aconselhamento jurídico. É um manual, escrito por pessoas que fazem software. Se estiver em causa muito dinheiro, menores ou dados sensíveis, consulte um jurista ou a sua federação ou entidade de cúpula.

O que é o RGPD?

O RGPD — Regulamento Geral sobre a Proteção de Dados, em inglês GDPR — é a lei europeia sobre dados pessoais. Aplica-se desde 2018 em toda a União Europeia e aplica-se também a um grupo de história local com oitenta sócios.

O que diz, no essencial, em cinco frases:

• Recolhe apenas os dados de que realmente precisa.
• Diz antecipadamente para que os vai usar.
• Não os guarda mais tempo do que o necessário.
• Protege-os de forma razoável contra roubo e perda.
• Quem consta do seu ficheiro pode perguntar que dados tem sobre ele, e pode pedir que sejam apagados.

Um dado pessoal é tudo aquilo que permite identificar uma pessoa: um nome, um endereço de e-mail, um número de telefone, por vezes até um número de encomenda que se pode associar a uma pessoa. Um contador "312 visitantes" não é.

Responsável e subcontratante

Esta é a parte mais vezes mal compreendida, e determina a quem um visitante se deve dirigir com uma pergunta.

A lei prevê dois papéis:

• O responsável pelo tratamento decide porquê e como os dados são usados.
• O subcontratante executa isso, por conta do responsável, e não faz mais nada com os dados.

A comparação que fica na memória: a sua organização é a dona do arquivo, nós somos o armário com fechadura. É a sua organização que decide o que lá entra, quem o pode consultar e quando pode sair. O armário guarda e protege, mas não lê o conteúdo nem telefona aos seus visitantes.

Outra forma de ver: a sua associação aluga uma sala. Quem explora a sala trata da porta e da fechadura; é a associação que decide quem pode entrar.

Dados	Responsável	Subcontratante
A sua própria conta, as suas faturas, os seus pedidos de suporte	Nós	—
Nome, e-mail, encomendas, bilhetes, leituras dos seus visitantes	A sua organização	Nós

Na prática, isto significa: se um visitante pedir acesso aos seus dados ou a eliminação dos mesmos, a decisão é da sua organização, não nossa. Se um pedido destes nos chegar, reencaminhamo-lo para si no prazo de cinco dias úteis e informamos o visitante de a quem se deve dirigir. Pode procurar o que tem sobre alguém no ecrã Encomendas. Entregar uma cópia dos dados de alguém ou apagá-los não o pode fazer sozinho no painel: peça-nos, e nós fazemo-lo por si.

---

Os quatro textos que fornecemos

No site público há quatro documentos jurídicos. Remetem uns para os outros e têm todos a mesma data de versão, para que possa indicar num processo que versão usou.

Documento	Sobre o que é
Aviso legal	Quem explora o serviço: nome, morada, número de empresa, número de IVA, contacto
Declaração de privacidade	Que dados pessoais são tratados, para quê, durante quanto tempo e com quem são partilhados
Condições gerais	Os acordos entre a sua organização e nós: assinatura, pagamento, disponibilidade, responsabilidade
Acordo de subcontratação	O que fazemos com os dados dos seus visitantes, por conta da sua organização

Não precisa de assinar à parte o acordo de subcontratação: faz parte das condições gerais. Se as aceitar no registo, aceita-o também. A versão que aceitou fica guardada na sua organização — pode, portanto, verificar sempre com o que concordou.

Se um processo de subsídio ou um concurso público precisar mesmo assim de um exemplar assinado em papel timbrado, escreva-nos. Nós assinamos.

Atenção: estes quatro textos dizem respeito a nós e à sua organização. Não dizem nada ao seu visitante sobre o seu evento. Isso é o capítulo seguinte, e esse trabalho é seu.

---

O que precisa antes de começar

• Meio dia para escrever dois textos: as suas próprias condições e a sua própria declaração de privacidade.
• Um sítio para publicar esses textos, normalmente o seu próprio site. No painel introduz apenas o link para as suas condições, não o texto em si.
• O nome, a morada e o número de empresa ou de associação da sua organização, e ainda um endereço de e-mail onde alguém possa ser contactado.
• Uma decisão da sua direção sobre duas questões: o que faz em caso de cancelamento, e até quando alguém pode anular.
• A função proprietário, para introduzir esse link em Definições → Organização.
• Se tiver dúvidas sobre o IVA: o número do seu contabilista.

---

O que a sua organização trata

Se vender bilhetes a visitantes, a sua organização é, perante esse visitante, a vendedora. Isso implica quatro coisas que não podemos fazer por si.

1. As suas próprias condições gerais

São os acordos entre a sua organização e o visitante. Publique-as numa página do seu próprio site e cole o link em Definições → Organização, separador Identidade visual, no campo Link para os seus termos e condições. O visitante vê esse link no pagamento, ao lado da caixa com que aceita as suas condições, e no fundo da sua bilheteira online. Se não preencher nada, ele continua a aceitar "as condições de" a sua organização, mas não as consegue ler em lado nenhum.

O que deve constar, com um exemplo do que uma pequena associação lá escreve:

O quê	Exemplo
Em caso de cancelamento	"Se o espetáculo não se realizar, reembolsamos o preço total do bilhete no prazo de 30 dias. Os custos de reserva não são reembolsados."
Em caso de adiamento	"Se a data for alterada, o seu bilhete continua válido para a nova data. Se não puder vir, avise-nos antes da nova data e devolvemos-lhe o dinheiro."
Revenda	"Pode passar o seu bilhete a outra pessoa. Não permitimos a revenda por um preço superior ao preço do bilhete."
Anular até quando	"Pode anular até 7 dias antes do jantar através de jantar@asuaassociacao.pt. Depois disso, o bilhete já não é reembolsável, porque as compras já estão feitas."
Chegar atrasado	"A visita guiada começa pontualmente às 14 horas. Quem chegar mais tarde junta-se ao grupo, mas não tem direito a reembolso da parte que perdeu."
Regras da casa	"Os cães são bem-vindos com trela, exceto na sala da cave. Só se pode fumar no exterior. A organização pode recusar a entrada em caso de embriaguez ou comportamento incómodo."
Responsabilidade	"A organização não é responsável pela perda ou roubo de objetos pessoais."
Quem é	"Grupo de Teatro O Desvio, Rua da Aldeia 3, 1000-001 Algures, número de pessoa coletiva 501 234 567."

Atenção: escreva-as no idioma em que vende e mantenha-as curtas. Três ecrãs de texto ninguém lê; dez regras claras, sim. E mantenha-as justas — uma condição manifestamente abusiva perante um consumidor não se aguenta, de qualquer forma, perante um juiz.

2. A sua própria declaração de privacidade

É a sua organização que determina porque recolhe os dados dos visitantes e durante quanto tempo os guarda. A nossa declaração de privacidade diz o que a plataforma faz com esses dados; não substitui a sua. No pagamento colocamos um link para a nossa; para a sua não há um campo próprio. Publique-a no seu próprio site e remeta para ela a partir das suas condições — ou ponha as duas na mesma página.

Cinco perguntas a que responde, com um exemplo:

Pergunta	Exemplo para uma pequena associação
O que recolhe?	"Numa encomenda: o seu nome, o seu endereço de e-mail e o que encomendou. Num jantar, também a sua escolha de menu e se nos indica alergias."
Porquê?	"Para lhe podermos entregar o bilhete, para o avisarmos se algo mudar, e para sabermos quantas doses temos de cozinhar."
Durante quanto tempo?	"Guardamos os dados da sua encomenda durante 7 anos, porque a nossa contabilidade o exige. Guardamos o seu endereço de e-mail para a newsletter até cancelar a inscrição."
Com quem os partilha?	"Com a nossa plataforma de bilhética, que os trata por nossa conta, e com o nosso fornecedor de pagamentos, para o pagamento. Com mais ninguém. Não vendemos endereços."
Onde se pode dirigir alguém?	"Escreva para privacidade@asuaassociacao.pt ou para Grupo de Teatro O Desvio, Rua da Aldeia 3, 1000-001 Algures. Pode pedir os seus dados, pedir que sejam corrigidos ou que sejam apagados."

Esse último endereço não é opcional. Uma declaração de privacidade sem um sítio onde alguém possa fazer uma pergunta não é uma declaração de privacidade.

Atenção: envia newsletters? Então isso é uma finalidade à parte, e tem de pedir consentimento à parte para ela. Um endereço de e-mail que recebeu para entregar um bilhete não é um consentimento para lhe enviar algo três vezes por ano.

3. O direito de livre resolução

Quem compra algo online tem normalmente catorze dias para mudar de ideias. Para eventos numa data fixa, na União Europeia, não se aplica em regra o direito de livre resolução de catorze dias — caso contrário, alguém poderia comprar um bilhete, ir ver e depois pedir o dinheiro de volta.

Diga-o expressamente nas suas condições, porque, caso contrário, o visitante parte do princípio de que tem esse direito.

Uma frase que chega: "Os bilhetes para um evento numa data determinada não têm direito legal de livre resolução de 14 dias. A sua compra é definitiva, exceto no que está indicado acima sobre anulações."

Se vender algo que não tem data fixa — um vale-oferta, um passe anual que começa em qualquer momento — não parta simplesmente do princípio de que se aplica a mesma exceção. Informe-se.

4. IVA e contabilidade

É a sua organização que decide se cobra IVA nos seus bilhetes, e qual. A plataforma aplica o que configurar; não dá aconselhamento fiscal.

O que uma pequena associação aplica na prática: muitas associações estão abrangidas por uma isenção e cobram 0%, com uma menção como "Isento de IVA" no bilhete. Outras associações estão sujeitas a IVA no seu jantar, mas não no seu espetáculo. Essa diferença é exatamente o tipo de questão para a qual liga uma vez ao seu contabilista em vez de tentar adivinhar.

Tenha também em conta que, enquanto vendedor, tem de conseguir justificar a sua faturação. Se vender à porta, o diário de caixa ajuda nisso; consulte A caixa da bilheteira.

---

Não tratamos dados de pagamento

Números de cartão, números de conta e tudo o mais que faz parte de um pagamento vão diretamente para o fornecedor de pagamentos que a sua organização liga. Nós só vemos se um pagamento foi bem-sucedido e de que montante. O dinheiro também vai diretamente para a sua conta; não ficamos pelo meio. Consulte Ligar o seu fornecedor de pagamentos.

---

Prazos de conservação

A lista completa está na declaração de privacidade. Os prazos de que vai precisar mais vezes:

O quê	Durante quanto tempo	Porquê
Encomendas, bilhetes e leituras	Enquanto for cliente, mais o que indicar	É a sua organização que o decide, enquanto responsável
Os seus dados após o fim da assinatura	30 dias para exportar, depois são apagados	Tempo suficiente para fazer a sua exportação
Faturas	10 anos	Lei contabilística búlgara, aplicável a nós
Os seus próprios documentos contabilísticos na Bélgica	7 anos	Código de Direito Económico belga, aplicável à sua organização
Registos do servidor	90 dias	Tempo suficiente para investigar um incidente

Se precisar de um prazo mais rigoroso para o seu setor, diga-nos.

---

Quem mais vê os seus dados?

Apenas fornecedores de que precisamos para pôr a plataforma a funcionar. A lista completa, com nome, país e para que servem, está na declaração de privacidade e no acordo de subcontratação. As duas listas vêm da mesma fonte, para que não possam divergir.

Se entrar ou sair um fornecedor, avisamos por e-mail com pelo menos trinta dias de antecedência. Se não concordar, pode cancelar sem custos.

Os seus dados ficam na União Europeia, com três exceções que controla: um bilhete na Apple Wallet ou na Google Wallet, e a Stripe como fornecedor de pagamentos. Para todas as três aplicam-se as cláusulas contratuais-tipo da Comissão Europeia ou o EU-US Data Privacy Framework.

---

Cookies

Apenas funcionais: a sessão, o token CSRF e o cookie que mantém a sessão iniciada — e, num tablet que emparelhou como caixa, um cookie que reconhece esse dispositivo. Nada de análise, nada de publicidade, nada de rastreadores, e nenhum tipo de letra nem script de um servidor alheio. A sua escolha de idioma fica no endereço da página e não num cookie.

É por isso que também não há banner de cookies no site. Não é um esquecimento: para cookies estritamente necessários à prestação do serviço, não é exigido consentimento.

---

Se, mesmo assim, algo correr mal

Se detetarmos uma violação de dados que afete os seus visitantes, informamo-lo no prazo de 48 horas após a deteção — não 72, porque essas 72 horas são o prazo em que a sua organização tem de informar a autoridade de controlo, e só o consegue cumprir se souber por nós mais cedo. Recebe de nós o que soubermos nesse momento, e dizemos honestamente o que ainda não sabemos.

---

Apresentar uma reclamação

Se não estiver satisfeito com a forma como tratamos os dados, diga-nos primeiro — a maior parte das coisas resolve-se mais depressa do que dura um procedimento. Também se pode dirigir diretamente a uma autoridade de controlo: à CPDP búlgara (cpdp.bg), a nossa autoridade principal, ou, se viver na Bélgica, à autoridade belga de proteção de dados (gegevensbeschermingsautoriteit.be).

---

Erros frequentes

• Usar a nossa declaração de privacidade como se fosse a sua. Essa diz respeito à plataforma. O visitante compra à sua organização e tem de poder ler o seu texto.
• Não preencher um link para as suas condições. Nesse caso, o visitante não consegue ler em lado nenhum, no pagamento, aquilo com que concorda, e no primeiro cancelamento não tem nenhum acordo para o qual remeter.
• Usar endereços de e-mail da venda de bilhetes para uma newsletter. É uma finalidade diferente. Peça consentimento à parte.
• Afirmar que existem, sim, catorze dias para mudar de ideias. Ou não dizer nada, o que vai dar ao mesmo assim que alguém perguntar.
• Pedir mais do que precisa. Uma data de nascimento, um número de identificação civil ou uma morada para um bilhete enviado por e-mail: não peça. O que não tem, não pode perder.

---

E se …

E se um visitante pedir para apagar todos os seus dados?

A decisão é da sua organização. Veja primeiro se ainda precisa deles: uma encomenda que está na sua contabilidade pode, em regra, ser conservada até terminar o prazo legal. O resto pode ser apagado. Procure a pessoa em Encomendas e diga-nos o que pode ser apagado: apagar ou anonimizar, fazemos nós por si.

E se não tiver condições próprias e já tiver vendido?

Escreva-as mesmo assim, publique-as e introduza o link em Definições → Organização, separador Identidade visual. A partir daí, aplicam-se às novas encomendas. Para o que já foi vendido, recorre-se à lei e ao que prometeu na sua comunicação — uma razão para não adiar.

E se o meu evento for cancelado?

Faça o que está nas suas próprias condições, e faça-o depressa. Envie um e-mail a todos os que têm bilhete, diga o que acontece ao dinheiro deles e quando. O silêncio custa-lhe mais boa vontade do que um reembolso que demora duas semanas.

E se um visitante tiver uma queixa sobre a forma como tratamos os seus dados?

Encaminhe-o para a sua organização, não para nós: o responsável é a sua organização. Se não chegarem a acordo, ajudamo-lo com os factos. Além disso, um visitante pode sempre dirigir-se à sua própria autoridade de controlo.

E se uma entidade financiadora pedir um acordo de subcontratação assinado?

Escreva-nos. Assinamos um exemplar em papel timbrado. O conteúdo é o mesmo que já aceitou no registo.

---

Perguntas frequentes

Tenho de assinar à parte o acordo de subcontratação? Não. Está incluído nas condições gerais que aceitou no registo. Para um processo, assinamos a pedido um exemplar separado.

A minha pequena associação precisa mesmo de uma declaração de privacidade? Sim. O RGPD não faz exceções em função da dimensão. A boa notícia: para uma associação que só recolhe nomes e endereços de e-mail, uma página chega.

Posso copiar as frases de exemplo deste artigo? Sim, à vontade — adapte-as à sua própria situação. São exemplos para o ajudar a começar e não um modelo verificado por um jurista.

Preciso de um banner de cookies na minha própria página de bilhetes? Para as páginas que fornecemos, não: só têm cookies funcionais. Se integrar a bilheteira online no seu próprio site com ferramentas de análise, então trata-se dos seus cookies e do seu banner.

Onde vejo que versão das condições aceitei? Fica guardada na sua organização. Peça-nos se precisar do exemplar que aceitou na altura.