Política de privacidade - Arquivada V1

Estás a ver uma versão arquivada da nossa Política de Privacidade. Visita a versão mais recente para obteres informação atualizada.

Ver política de privacidade mais recente

Data de entrada em vigor: 1 de outubro de 2026 - 31 de outubro de 2026

A versão curta

Ninguém lê políticas de privacidade. Por isso, aqui vai tudo em dez linhas, com a versão completa abaixo.

• Os teus dados são teus. Para agendamentos feitos através da tua conta Cal.com, tu és o responsável pelo tratamento e nós somos o subcontratante. Tratamo-los em teu nome e não os vendemos a ninguém, nunca.
• Recolhemos o mínimo. Nomes, emails, números de telefone e o que as tuas perguntas de agendamento pedirem. Mais a parte técnica aborrecida que todos os sites recebem: endereço IP, navegador, páginas vistas.
• A base de dados é onde vivem os dados pessoais. Não nos nossos registos, não nas nossas análises, não numa folha de cálculo. As nossas próprias regras de engenharia proíbem dados pessoais em registos, relatórios de erro e eventos de análise. Enviamos IDs, não pessoas.
• Usamos subcontratantes e identificamo-los todos. Email, SMS, vídeo, pagamentos, IA, armazenamento, suporte. A tabela completa e a finalidade de cada um estão no nosso Centro de Confiança.
• As funcionalidades de IA são opcionais e limitadas. As notas de reunião com IA enviam o texto da transcrição (sem títulos, sem lista de participantes, sem links). Os agentes telefónicos de IA enviam o número de telefone e os dados do convidado necessários para fazer a chamada. Nada é usado para treinar modelos de ninguém.
• As tuas aplicações são escolha tua. Quando ligas Google Calendar, Zoom, Salesforce ou um webhook, os dados fluem para lá porque assim o indicaste. Essas são as tuas integrações, sob as tuas instruções.
• Sem cookies de terceiros no produto. O nosso site de marketing usa análises e medição de anúncios. Consulta a secção de cookies.
• Podes exportar os teus dados ou eliminá-los. A qualquer momento, por ti próprio ou por email. Eliminar significa eliminar, incluindo nos nossos subcontratantes.
• Perguntas: [email protected]. Pessoas reais, não um formulário.

Quem é quem: responsável pelo tratamento vs. subcontratante

Isto confunde muita gente, por isso vem primeiro.

O que significa: se és um participante que agendou uma reunião e queres que os teus dados sejam eliminados, o caminho mais rápido é falares com a pessoa com quem agendaste. Ajudamos de qualquer forma e encaminhamos o pedido.

O que recolhemos

Dados que tu e quem agenda contigo nos fornecem

• Dados da conta: nome, email, nome de utilizador, hash da palavra-passe ou identidade SSO, fuso horário, fotografia de perfil e a tua disponibilidade.
• Dados de agendamento: nomes e emails dos participantes, números de telefone quando são usados lembretes por SMS ou chamadas telefónicas, títulos e locais das reuniões, respostas às tuas perguntas de agendamento, notas, listas de convidados, motivos de cancelamento e de reagendamento.
• Dados de faturação: nome da empresa, morada de faturação e dados do cartão de pagamento. O cartão vai diretamente para a Stripe, e nunca o vemos nem armazenamos.
• Dados de suporte: tudo o que nos escreves, mais o contexto da conta associado à conversa.

Dados que recolhemos automaticamente

• Endereço IP, navegador e dispositivo, URL de referência, páginas vistas e carimbos de data/hora.
• Eventos de utilização do produto (que funcionalidades usaste, com que frequência) associados a um ID opaco, não ao teu email.
• Diagnósticos de erro e desempenho quando algo falha.

O que deliberadamente não fazemos

• Não recolhemos deliberadamente categorias especiais de dados. As tuas perguntas de agendamento podem fazê-lo, no entanto. Se perguntares sobre saúde, isso são dados de saúde na tua conta Cal.com, e cabe-te a ti pedi-los de forma legal. Consulta "Informações de saúde".
• Não recolhemos conscientemente dados de ninguém com menos de 18 anos.
• Não criamos perfis publicitários a partir de dados de agendamento e não vendemos nem alugamos dados pessoais.

O que significa: guardamos o que é necessário para colocar uma reunião em dois calendários, faturar-te e dar-te suporte. Os dados pessoais mais interessantes, as respostas de quem agenda contigo, guardamo-los para ti, não para nós.

Porque é que podemos fazê-lo (fundamentos jurídicos, GDPR art. 6)

Subprocessadores: quem mais trata dados pessoais

Usamos outras empresas para operar Cal.com. Todos os subprocessadores têm um acordo de tratamento de dados connosco, só recebem o que precisam e só tratam dados segundo as nossas instruções. O que fazem e onde tratam os dados estão indicados no nosso Centro de Confiança.

Como ficas a saber das alterações. De acordo com o nosso Acordo de Tratamento de Dados, podemos adicionar ou substituir subprocessadores para fornecer, operar, proteger e dar suporte ao Cal.com. Quando exigido pelo DPA, vamos avisar-te antes de um subprocessador novo ou substituto começar a tratar Dados Pessoais do Cliente.

Se te opuseres com motivos razoáveis e devidamente fundamentados de proteção de dados, podes fazê-lo conforme descrito no DPA. Se tiveres perguntas sobre um subprocessador, escreve para [email protected].

Publicidade e identificação de leads (site de marketing e ferramentas de marketing, não o produto)

Estes são geridos pela nossa equipa de marketing, em vez de estarem integrados no código do produto, e só veem dados do site de marketing e das listas de marketing; nunca dados de reservas, respostas de participantes ou qualquer coisa da tua conta Cal.com.

O que significa: se estiveres no EEE ou no Reino Unido, os fornecedores de correspondência de audiências e identificação de visitantes não são ativados para ti. Em qualquer outro lugar, podes desativá-los recusando cookies de marketing ou usando o Global Privacy Control.

Aplicações e integrações que ligas

Quando ligas uma aplicação, estás a dizer-nos para lhe enviarmos dados. É exatamente isso que fazemos, e nada mais.

• Calendários: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: títulos, descrições, horários, localizações, nomes e emails do organizador e dos participantes, e dados de livre/ocupado.
• Vídeo: Zoom, Google Meet, Microsoft Teams e outros: detalhes da reunião necessários para criar o link.
• CRM e automação: Salesforce, HubSpot, Pipedrive e semelhantes: nome e email do participante, detalhes da reunião e respostas às tuas perguntas de agendamento.
• Webhooks e o teu próprio servidor SMTP: tu forneces o endpoint ou servidor de email; ele recebe tudo o que os eventos que subscreveste contêm.

O que significa: estes são os teus subcontratantes, não os nossos. Aplicam-se as políticas de privacidade deles, e desligar a aplicação interrompe o fluxo. Não conseguimos apagar o que já está no teu CRM.

Informação de saúde (PHI)

Cal.com não é um produto de saúde, mas os agendamentos podem conter informação de saúde: uma pergunta de admissão, um título de reunião, notas. Se usares Cal.com para qualquer coisa regulada pela HIPAA, esses dados só estão tão protegidos quanto o acordo que os suporta: celebra um BAA em go.Cal.com/BAA antes de os recolheres, e mantém-nos fora dos campos de agendamento que são copiados para aplicações de terceiros.

Durante quanto tempo os guardamos

Para onde vão os teus dados

Somos uma empresa dos EUA e os dados são tratados nos Estados Unidos. Alguns subprocessadores tratam-nos noutros locais. Para transferências do EEE ou do Reino Unido para os Estados Unidos, baseamo-nos no EU-U.S. Data Privacy Framework e na sua UK Extension, quando aplicável, conforme descrito abaixo. Também usamos Cláusulas Contratuais-Tipo quando apropriado, incluindo para transferências a partir da Suíça. Se precisares de residência de dados na UE, contacta-nos em [email protected].

EU-U.S. Data Privacy Framework e UK Extension

Cal.com, Inc. cumpre o EU-U.S. Data Privacy Framework (EU-U.S. DPF) e a UK Extension ao EU-U.S. DPF, conforme estabelecido pelo Departamento do Comércio dos EUA. Cal.com, Inc. certificou junto do Departamento que adere aos Princípios do EU-U.S. DPF para dados pessoais não relacionados com RH recebidos da União Europeia e do Espaço Económico Europeu ao abrigo do EU-U.S. DPF, e do Reino Unido e de Gibraltar ao abrigo da UK Extension. Este compromisso não cobre dados de RH de colaboradores transferidos para uso numa relação laboral. Se esta política entrar em conflito com os Princípios do DPF, prevalecem os Princípios. Sabe mais sobre o programa e, assim que Cal.com aparecer na Data Privacy Framework List, vê a sua entrada em dataprivacyframework.gov.

Os dados abrangidos podem incluir nomes, endereços de email, números de telefone, detalhes de conta e perfil, disponibilidade, detalhes de agendamentos e reuniões, respostas a perguntas de agendamento, informações de faturação e apoio, e informações do site, dispositivo, utilização e segurança. Os clientes podem configurar perguntas de agendamento que recolhem dados sensíveis. Usamos dados abrangidos para fornecer serviços de agendamento e relacionados, gerir contas, reservas e pagamentos, comunicar com utilizadores e participantes, prestar apoio, proteger e melhorar o serviço, e fazer marketing quando permitido. Outras secções desta política descrevem estes dados e finalidades com mais detalhe.

Divulgamos dados abrangidos relevantes a prestadores de serviços e subprocessadores para alojamento, armazenamento, email e SMS, vídeo, pagamentos, apoio, análises, segurança e funcionalidades opcionais, e a integrações selecionadas pelos clientes. O nosso Centro de Confiança lista os subprocessadores e as suas finalidades. Também podemos divulgar dados pessoais quando exigido por lei. Ao abrigo do Princípio de Responsabilidade por Transferência Subsequente do DPF, Cal.com continua responsável se um agente tratar dados abrangidos de forma inconsistente com os Princípios, a menos que Cal.com prove que não foi responsável pelo evento que deu origem ao dano.

As pessoas podem solicitar acesso a dados abrangidos e pedir-nos para corrigir, alterar ou apagar dados que estejam incorretos ou sejam tratados em violação dos Princípios. Quando o Princípio de Escolha do DPF o exigir, as pessoas podem opor-se antes de os dados abrangidos serem divulgados a terceiros ou usados para uma finalidade materialmente diferente. Quando esse Princípio exigir consentimento afirmativo para informação sensível, iremos obtê-lo antes da utilização ou divulgação relevante. Envia pedidos para [email protected]. Para os dados de agendamento que tratamos segundo as instruções de um cliente, vamos coordenar com esse cliente para dar resposta ao pedido.

As pessoas da UE e do Reino Unido devem primeiro enviar questões ou reclamações relacionadas com o DPF para Cal.com, Inc., Privacy & Compliance, 2261 Market Street #4382, San Francisco, CA 94114, United States; [email protected]; +1 415 212 6667. Felix Kolodziej, Responsável de Conformidade, também pode ser contactado em [email protected]. Responderemos a reclamações DPF no prazo de 45 dias. Para reclamações por resolver sobre dados abrangidos, comprometemo-nos a cooperar com e a cumprir o parecer do painel estabelecido pelas autoridades de proteção de dados da UE para dados da UE, e o Gabinete do Comissário da Informação do Reino Unido e a Autoridade Reguladora de Gibraltar para dados do Reino Unido e de Gibraltar. Estes mecanismos independentes de recurso estão disponíveis gratuitamente para as pessoas.

Cal.com, Inc. está sujeita aos poderes de investigação e execução da Comissão Federal do Comércio dos EUA quanto à sua conformidade com o EU-U.S. DPF e a Extensão do Reino Unido. Em determinadas condições, as pessoas podem recorrer a arbitragem vinculativa para reclamações residuais sobre a conformidade com o DPF. Podemos ser obrigados a divulgar dados abrangidos em resposta a pedidos lícitos de autoridades públicas, incluindo para cumprir requisitos de segurança nacional ou de aplicação da lei.

Cookies

• Na aplicação: cookies para iniciar sessão, memorizar preferências e segurança. Sem cookies de publicidade de terceiros.
• No site de marketing: os cookies de análise e medição de anúncios listados acima. Podes recusá-los.
• Respeitamos os sinais Global Privacy Control e Do Not Track.

Os teus direitos

Onde quer que vivas, podes pedir-nos para: aceder aos teus dados, corrigi-los, eliminá-los, exportá-los, limitar ou opor-te ao tratamento, ou retirar o consentimento. Se estiveres na Califórnia, acrescenta: saber que dados recolhemos, eliminá-los, corrigi-los e recusar a venda ou partilha. Não os vendemos nem partilhamos, por isso não há nada a recusar. Se estiveres no EEE ou no Reino Unido, também podes apresentar queixa à tua autoridade de proteção de dados.

Podes tratar da maior parte disto nas tuas definições. Caso contrário, envia um email para [email protected] e responderemos no prazo de 30 dias. Primeiro, vamos pedir-te que confirmes a tua identidade, e não te trataremos pior por o pedires.

Segurança

Encriptação em trânsito e em repouso, acesso de privilégio mínimo, SSO e 2FA, infraestrutura auditada e um programa de bug bounty. Detalhes e os nossos relatórios atuais: cal.com/security. Nenhum sistema é perfeitamente seguro; se algo correr mal, avisaremos os clientes afetados sem demora desnecessária e de acordo com o nosso DPA.

Alterações a esta política

Publicaremos a nova versão aqui e atualizaremos a data de entrada em vigor. Para qualquer alteração material, como uma nova categoria de subcontratante ou uma nova utilização de dados, enviaremos um email antes de entrar em vigor.

Contacto

Encarregado da proteção de dados: [email protected]
Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, Estados Unidos

Representante na UE (GDPR Art. 27): Felix Kolodziej, [email protected], morada mediante pedido

Tudo o resto: [email protected]