Política de privacidade
Última atualização: 11 de setembro de 2026
Agenly é um produto operado por Manuel Ortega Galiano, trabalhador independente sob a marca comercial Xyvenza, com domicílio fiscal em Baza (Granada). Esta página descreve como tratamos os dados pessoais dos quais somos responsáveis — os de quem visita agenly.io e os do negócio que contrata o serviço —, tanto agora como durante a operação do produto.
Que dados cobre esta política
Esta política cobre apenas os dados dos quais Agenly é responsável pelo tratamento: os de quem visita agenly.io e os do negócio que contrata o serviço. Quando uma pessoa reserva uma marcação na página de um negócio, o responsável por esses dados é esse negócio e Agenly atua como subcontratante do tratamento (art. 28.º do RGPD), tratando-os apenas seguindo as suas instruções e por força do contrato de subcontratação que assinamos com cada negócio. Os direitos sobre esses dados — a marcação, o telefone verificado, as mensagens de WhatsApp — exercem-se perante o negócio, cujos dados de contacto figuram na política de privacidade da sua própria página de reservas.
Dados que recolhemos
- O teu email, quando o deixas no formulário «Avisa-me do lançamento» deste site.
- Os registos de acesso que o nosso próprio servidor web gera ao servir-te cada página: endereço IP, data e hora, página solicitada e navegador. Servem para entregar o site e detetar abusos, não para medir audiência.
- Não temos análise de servidor. As métricas de utilização só existem se aceitares as cookies de análise no banner, e as de marketing só se aceitares essa categoria: o detalhe de cada cookie está na política de cookies.
Para que os usamos
- Avisar-te por email quando a Agenly estiver disponível. Zero spam, e zero cedências: não entregamos o teu email a ninguém para as suas próprias finalidades. Só o trata, por conta nossa, o fornecedor do formulário que figura na lista de subcontratantes.
- Melhorar o site pré-lançamento percebendo que secções interessam mais.
Base legal do tratamento
Cada uso que fazemos dos teus dados apoia-se numa das bases legais previstas no artigo 6.º do Regulamento Geral de Proteção de Dados (RGPD):
- Consentimento. O teu email para a newsletter de lançamento. As cookies de análise (Google Analytics 4) e marketing (Meta Pixel, TikTok Pixel, LinkedIn Insight Tag). Estes tratamentos só se realizam se deres o teu consentimento explícito no banner de cookies.
- Execução de contrato. Os dados do negócio contratante e das pessoas utilizadoras da sua conta: registo, faturação, configuração da sua página de reservas e suporte.
- Interesse legítimo. Segurança do site: os registos mínimos de acesso que o nosso próprio servidor web escreve para detetar abusos. Ponderado o interesse, o tratamento é proporcional — são os dados que qualquer servidor precisa para entregar uma página, conservam-se pouco tempo e não se cruzam com nada — e podes opor-te escrevendo para info@agenly.io.
- Obrigação legal. Conservação de dados fiscais e contabilísticos quando fores cliente comercial, durante os prazos exigidos pela legislação espanhola.
Se não nos forneceres os dados
Pedimos-te os dados mínimos para o que fazes em cada caso. Deixar o teu email na lista de espera é voluntário: se não o deixares, não poderemos avisar-te do lançamento e mais nada neste site deixa de funcionar. Quando contratares o serviço, os dados de registo e faturação são sim necessários para o prestar e emitir a fatura: sem eles não podemos formalizar o contrato. Aceitar as cookies de análise ou de marketing é sempre opcional, e rejeitá-las não limita em nada a tua utilização do site.
Período de retenção
- Email da newsletter: até que solicites a baixa ou até 24 meses sem interação, o que ocorrer primeiro.
- Cookies analíticas: ver «Política de cookies» para o detalhe de cada cookie.
- Cookies de marketing: a duração é definida pelo fornecedor (Meta, TikTok, LinkedIn) — ver «Política de cookies».
- Documentação contabilística e fiscal: 6 anos desde o último lançamento realizado, nos termos do artigo 30.º do Código de Comércio espanhol.
- Restantes dados operacionais do serviço comercial: são eliminados aos 90 dias da cessação da relação contratual, salvo bloqueio nos termos do artigo 32.º da LOPDGDD enquanto possam derivar-se responsabilidades.
Transferências internacionais
Alguns dos fornecedores que aparecem mais abaixo estão estabelecidos fora do Espaço Económico Europeu ou tratam dados a partir de fora dele. Esta lista é gerada a partir das fichas de subcontratantes e corresponsáveis, por isso não pode ficar incompleta: se um fornecedor transfere, aparece aqui com a garantia que a ampara.
- Cloudflare, Inc. — Certificada no EU-US Data Privacy Framework: a transferência ampara-se na decisão de adequação e, como garantia de reforço, nas Cláusulas Contratuais-Tipo.
- Meta Platforms Ireland Ltd. (WhatsApp Business Platform) — A Meta Platforms, Inc. está certificada no EU-US Data Privacy Framework: a transferência ampara-se na decisão de adequação e, como garantia de reforço, nas Cláusulas Contratuais-Tipo dos Termos da Meta.
- Stripe Payments Europe, Ltd. — A Stripe, LLC está certificada no EU-US Data Privacy Framework: a transferência ampara-se na decisão de adequação e, como garantia de reforço, nas Cláusulas Contratuais-Tipo.
- Twilio Inc. — Certificada no EU-US Data Privacy Framework: a transferência ampara-se na decisão de adequação e, como garantia de reforço, nas Cláusulas Contratuais-Tipo.
- Resend (PLUS FIVE FIVE) — Certificada no EU-US Data Privacy Framework sob a sua denominação registal, PLUS FIVE FIVE: a transferência ampara-se na decisão de adequação e, como garantia de reforço, nas Cláusulas Contratuais-Tipo.
- 650 Industries, Inc. (Expo Push) — O operador do Expo, 650 Industries, Inc., declara na sua política de privacidade a sua autocertificação no EU-US Data Privacy Framework e nas suas extensões britânica e suíça: a transferência ampara-se na decisão de adequação e, como garantia de reforço, nas Cláusulas Contratuais-Tipo (art. 46.º do RGPD).
- Fundación OpenStreetMap (Nominatim) — A transmissão ampara-se na decisão de adequação da Comissão Europeia para o Reino Unido, renovada em dezembro de 2025 e em vigor até 27 de dezembro de 2031.
- RevenueCat, Inc. — Não consta da lista do EU-US Data Privacy Framework: a transferência ampara-se nas Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia (art. 46.º do RGPD).
- Anthropic, PBC — A transferência ampara-se nas Cláusulas Contratuais-Tipo (art. 46.º do RGPD) incluídas no seu acordo de tratamento de dados. A sua inclusão no EU-US Data Privacy Framework está pendente de confirmação na nossa revisão legal.
- OpenAI Ireland Limited (OpenAI) — Para a subcontratação nos Estados Unidos, a transferência ampara-se nas Cláusulas Contratuais-Tipo (art. 46.º do RGPD) incluídas no seu acordo de tratamento de dados. A sua inclusão no EU-US Data Privacy Framework está pendente de confirmação na nossa revisão legal.
- Moonshot AI (plataforma internacional Kimi) — Nem Singapura nem a China dispõem de decisão de adequação da Comissão Europeia: a transferência ampara-se nas Cláusulas Contratuais-Tipo (art. 46.º do RGPD) com medidas complementares.
- Functional Software, Inc. (Sentry) — Certificada no EU-US Data Privacy Framework: a transferência ampara-se na decisão de adequação e, como garantia de reforço, nas Cláusulas Contratuais-Tipo.
- Formspree, Inc. — Não consta da lista do EU-US Data Privacy Framework — autocertificou-se ao abrigo do antigo Privacy Shield e retirou-se em abril de 2022 —, por isso a transferência ampara-se nas Cláusulas Contratuais-Tipo (art. 46.º do RGPD).
- Google Ireland Ltd. (Google Analytics 4, Google Business Profile y Google Calendar) — A Google LLC está certificada no EU-US Data Privacy Framework: a transferência ampara-se na decisão de adequação e, como garantia de reforço, nas Cláusulas Contratuais-Tipo.
- Meta Platforms Ireland Ltd. (Meta Pixel) — A Meta Platforms, Inc. está certificada no EU-US Data Privacy Framework: a transferência ampara-se na decisão de adequação e, como garantia de reforço, nas Cláusulas Contratuais-Tipo.
- TikTok Technology Limited (Irlanda) y TikTok Information Technologies UK Limited (Reino Unido) — A transmissão à TikTok Information Technologies UK Limited ampara-se na decisão de adequação da Comissão Europeia para o Reino Unido, renovada em dezembro de 2025 e em vigor até 27 de dezembro de 2031. As transferências para outras entidades do grupo estabelecidas fora do EEE amparam-se nas Cláusulas Contratuais-Tipo (art. 46.º do RGPD).
- LinkedIn Ireland Unlimited Company (LinkedIn Insight Tag) — A LinkedIn Corporation está certificada no EU-US Data Privacy Framework: a transferência ampara-se na decisão de adequação e, como garantia de reforço, nas Cláusulas Contratuais-Tipo.
Quando o fornecedor está certificado no EU-US Data Privacy Framework, a transferência ampara-se na decisão de adequação da Comissão Europeia de 10 de julho de 2023, e as Cláusulas Contratuais-Tipo ficam como garantia de reforço caso essa certificação decaísse. Quando não está, a garantia são diretamente as Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia (art. 46.º do RGPD). Podes solicitar cópia das garantias escrevendo para info@agenly.io.
Armazenamento
A nossa infraestrutura está alojada na União Europeia: os servidores e a base de dados correm na Hetzner Online GmbH, em centros de dados na Alemanha e na Finlândia. Alguns fornecedores auxiliares estão estabelecidos fora do Espaço Económico Europeu ou tratam dados a partir de fora dele; o detalhe de cada um e a garantia que ampara a sua transferência figuram em «Transferências internacionais» e na lista de subcontratantes do tratamento.
Os teus direitos
A qualquer momento podes solicitar o acesso aos teus dados, a sua retificação, a sua eliminação, a limitação do seu tratamento (art. 18.º do RGPD), a portabilidade dos que nos tenhas facultado e a oposição aos tratamentos baseados em interesse legítimo. Também tens direito a não seres objeto de decisões baseadas unicamente no tratamento automatizado, incluindo a definição de perfis, que produzam efeitos jurídicos sobre ti ou te afetem significativamente de modo semelhante (art. 22.º do RGPD). Para exerceres qualquer um deles escreve para info@agenly.io. Atendemos os pedidos no prazo máximo de um mês que o RGPD fixa. Se considerares que o tratamento não está em conformidade com a legislação, podes apresentar uma reclamação junto da Agência Espanhola de Proteção de Dados (AEPD, www.aepd.es).
Retirada do consentimento
Quando o tratamento se apoia no teu consentimento — a lista de espera, as cookies de análise e as de marketing — podes retirá-lo a qualquer momento, e retirá-lo é tão fácil como dá-lo: o link de baixa que cada email traz e o botão «Configurar cookies» do rodapé. Retirar o consentimento não afeta a licitude do tratamento realizado antes de o retirares.
Decisões automatizadas
Agenly não toma decisões baseadas unicamente no tratamento automatizado, incluindo a definição de perfis, que produzam efeitos jurídicos sobre ti ou te afetem significativamente de modo semelhante. O assistente conversacional gere marcações dentro de conversas que tu inicias, sob a supervisão do estabelecimento, que pode intervir ou colocá-lo em pausa a qualquer momento; reservar, confirmar ou mudar uma marcação não produz efeitos desse tipo. Se algum dia introduzirmos um tratamento deste tipo, informar-te-emos antes da lógica aplicada e das consequências previstas, e atualizaremos esta política.
Encarregado de proteção de dados
Não designámos um encarregado de proteção de dados porque não se verifica nenhum dos pressupostos do artigo 37.º do RGPD: não somos uma autoridade ou organismo público, a nossa atividade principal não consiste em tratamentos que exijam uma observação habitual e sistemática de pessoas em grande escala, e não tratamos em grande escala categorias especiais de dados. Qualquer questão sobre proteção de dados é atendida diretamente em info@agenly.io.
Subcontratantes do tratamento
Os seguintes fornecedores tratam dados pessoais por conta nossa e seguindo as nossas instruções (art. 28.º do RGPD), com um contrato de subcontratação assinado com cada um. Quase todos são estritamente necessários para que o produto funcione; o Google Analytics 4 é a exceção e só se ativa se aceitares a categoria «Análise» no banner. A Fundação OpenStreetMap é o único fornecedor desta lista sem contrato de subcontratação: o seu geocodificador é um serviço público que se usa sem conta e sem contrato, por isso, em vez de um contrato, a sua ficha declara exatamente o que lhe é enviado e o que não é.
- Hetzner Online GmbH — Alojamento dos servidores e da base de dados.Centros de dados na Alemanha e na Finlândia (União Europeia).
- Cloudflare, Inc. — DNS autoritativo de agenly.io e armazenamento de objetos R2. No R2 vivem as imagens que cada negócio carrega para a sua página — as fotos da página, o logótipo e os retratos da equipa — e as cópias de segurança da base de dados. As imagens são reprocessadas nos nossos servidores antes de serem guardadas, e esse reprocessamento descarta os metadados EXIF do ficheiro original, incluindo a coordenada GPS que um telemóvel escreve por predefinição. O proxy da Cloudflare não está ativado sobre este site: não vê o tráfego das páginas nem instala nenhuma cookie no teu navegador.A Cloudflare, Inc. está estabelecida nos EUA e opera uma rede distribuída. Os dois buckets R2 que usamos — o das imagens e o das cópias de segurança — estão criados com jurisdição europeia, de modo que os objetos se armazenam na União Europeia.
- Meta Platforms Ireland Ltd. (WhatsApp Business Platform) — Envio de lembretes e avisos de marcação através de modelos aprovados, ao abrigo dos Termos da Meta. É a mesma entidade que aparece mais abaixo como corresponsável pelo Meta Pixel: dois papéis distintos sobre dois tratamentos distintos. Aqui trata os dados seguindo as nossas instruções.Irlanda (União Europeia); subcontratação em Meta Platforms, Inc. (EUA).
- Stripe Payments Europe, Ltd. — Cobrança do sinal da marcação. A cobrança é criada diretamente sobre a conta Stripe do próprio estabelecimento, com comissão de plataforma zero: os dados do cartão são tratados pela Stripe e não passam pelos servidores da Agenly.Irlanda (União Europeia); subcontratação em Stripe, LLC (EUA).
- Twilio Inc. — Verificação do telefone do cliente ao reservar: envio por SMS do código de utilização única e verificação desse código.EUA.
- Resend (PLUS FIVE FIVE) — Envio transacional de email (convites à equipa, entrega das exportações de dados).EUA. A configuração de região pode manter o tratamento na UE; pendente de confirmação na nossa conta.
- 650 Industries, Inc. (Expo Push) — Entrega das notificações push aos telemóveis da equipa do estabelecimento — marcação nova, marcação cancelada, proposta de mudança de hora —. Só afeta as contas do negócio: quem reserva não recebe nenhuma. Envia-se-lhe o token de notificação do dispositivo, que é um identificador emitido pelo próprio Expo e não um dado de contacto, junto ao texto do aviso. Esse texto é genérico de propósito: «Tens uma marcação nova», «Foi cancelada uma marcação». Nem o nome da cliente, nem o seu telefone, nem o serviço reservado saem para o Expo; o aviso leva apenas o identificador interno da marcação para que a app saiba que ecrã abrir.EUA.
- Fundación OpenStreetMap (Nominatim) — Situar o negócio no mapa da sua página. Quando a dona guarda a morada do estabelecimento — e só quando a muda, não em cada gravação — os nossos servidores consultam o geocodificador público Nominatim com essa morada e a sua localidade, e guardam o ponto que este devolve. O que sai é a morada do negócio, não a de mais ninguém: nenhuma marcação, nenhum dado de clientes e nenhuma cookie intervêm, e a consulta é feita pelo nosso servidor, não pelo teu navegador. Além disso, a página pública de cada negócio tem um mapa do OpenStreetMap fechado que só carrega se clicares para o abrir; ao abri-lo é o teu navegador que se liga a openstreetmap.org, e essa ligação mostra-lhe o teu endereço IP — sem cookies nossas e sem lhe dizer de que página vens. Não o abrir é a forma de não apareceres por ali. O seu tratamento rege-se pela política de privacidade da Fundação OpenStreetMap (osmfoundation.org).Reino Unido (fundação registada em Inglaterra e no País de Gales).
- RevenueCat, Inc. — Registo do estado da subscrição do estabelecimento quando o produto estiver operacional comercialmente.EUA. A configuração de região pode manter o tratamento na UE; pendente de confirmação na nossa conta.
- Anthropic, PBC — Modelo de linguagem do assistente conversacional com IA e da descrição automática das fotos da página do estabelecimento. Que fornecedor atende cada chamada é fixado pela configuração do serviço. Só trata dados de conversa dos canais onde o estabelecimento ativou o assistente e as fotografias que a dona carrega para a sua galeria; enquanto o assistente com IA estiver desativado não lhe é enviado nenhum dado.EUA.
- OpenAI Ireland Limited (OpenAI) — Modelo de linguagem do assistente conversacional com IA e da descrição automática das fotos da página do estabelecimento. Que fornecedor atende cada chamada é fixado pela configuração do serviço. Só trata dados de conversa dos canais onde o estabelecimento ativou o assistente e as fotografias que a dona carrega para a sua galeria; enquanto o assistente com IA estiver desativado não lhe é enviado nenhum dado.Irlanda (União Europeia) como entidade contratante para o Espaço Económico Europeu; subcontratação em OpenAI, L.L.C. (EUA).
- Moonshot AI (plataforma internacional Kimi) — Modelo de linguagem do assistente conversacional com IA e da descrição automática das fotos da página do estabelecimento. Que fornecedor atende cada chamada é fixado pela configuração do serviço. Só trata dados de conversa dos canais onde o estabelecimento ativou o assistente e as fotografias que a dona carrega para a sua galeria; enquanto o assistente com IA estiver desativado não lhe é enviado nenhum dado.Singapura, segundo a política de privacidade da sua plataforma internacional; a sociedade-mãe tem sede em Pequim (China). Entidade contratante pendente de confirmação na nossa conta.
- Functional Software, Inc. (Sentry) — Observabilidade de erros no backend.EUA. A configuração de região pode manter o tratamento na UE; pendente de confirmação na nossa conta.
- Formspree, Inc. — Receção e armazenamento do endereço de correio que deixas no formulário «Avisa-me do lançamento» deste site, e aviso ao titular de cada novo registo.EUA. A sua infraestrutura corre sobre Amazon Web Services nos Estados Unidos e não oferece região europeia.
- Google Ireland Ltd. (Google Analytics 4, Google Business Profile y Google Calendar) — Três serviços distintos da mesma entidade, ao abrigo das Condições de tratamento de dados da Google. Google Analytics 4: análise agregada da utilização deste site, e o único dos três que depende do teu consentimento — só se ativa se aceitares a categoria «Análise». Google Business Profile: quando um negócio liga a sua ficha do Google, trazemos as suas avaliações públicas e guardamo-las para as mostrar na sua página, incluindo o nome, a foto e o texto de quem avaliou, tal como a Google os publica, porque as suas condições exigem mostrar essa atribuição sem a alterar; são dados que já eram públicos na Google e que quem avaliou pode editar ou apagar lá, e ao fazê-lo desaparecem também daqui na sincronização seguinte. Google Calendar: quando um negócio sincroniza a sua agenda, escrevemos cada marcação no seu calendário com o serviço e o nome do estabelecimento, e deliberadamente sem o nome da cliente — o evento limita-se a dizer que os dados estão no painel da Agenly.Irlanda (União Europeia); subcontratação em Google LLC (EUA).
Corresponsáveis do tratamento
Com as plataformas publicitárias não atuamos como responsável e subcontratante, mas sim como corresponsáveis do tratamento (art. 26.º do RGPD), na linha que fixaram o acórdão Fashion ID do Tribunal de Justiça da UE (C-40/17) e as Orientações 8/2020 do Comité Europeu para a Proteção de Dados. A repartição é esta: nós informamos-te e recolhemos o teu consentimento antes de carregar qualquer píxel, e respondemos por essa recolha e pela transmissão à plataforma; a plataforma responde pelos dados uma vez que os recebeu, incluindo o exercício dos teus direitos sobre eles, e a partir daí trata-os como responsável independente para as suas próprias finalidades publicitárias, sobre as quais não decidimos nem temos acesso. Podes dirigir-te indistintamente a nós ou à plataforma para exerceres os teus direitos, ainda que sobre esse tratamento posterior só ela possa resolver. O acordo de corresponsabilidade de cada uma está associado na sua ficha.
- Meta Platforms Ireland Ltd. (Meta Pixel) — Medição de campanhas nas plataformas publicitárias da Meta. Só carrega após o teu consentimento na categoria «Marketing». É a mesma entidade que aparece acima como subcontratante pela WhatsApp Business Platform: ali trata dados seguindo as nossas instruções, aqui decide connosco a recolha.Irlanda (União Europeia); subcontratação em Meta Platforms, Inc. (EUA).
- TikTok Technology Limited (Irlanda) y TikTok Information Technologies UK Limited (Reino Unido) — Medição de campanhas no TikTok. Só carrega após o teu consentimento na categoria «Marketing». Ambas as entidades atuam em conjunto como corresponsáveis, a irlandesa ao abrigo do RGPD e a britânica ao abrigo do RGPD do Reino Unido.Irlanda (União Europeia) e Reino Unido.
- LinkedIn Ireland Unlimited Company (LinkedIn Insight Tag) — Medição de campanhas B2B no LinkedIn e dados demográficos agregados da audiência. Só carrega após o teu consentimento na categoria «Marketing».Irlanda (União Europeia); subcontratação em LinkedIn Corporation (EUA).
Alterações
Atualizamos esta política sempre que muda algo material no tratamento: um fornecedor novo, uma finalidade nova ou uma alteração na garantia que ampara uma transferência. A data do cabeçalho indica a última revisão. Se a alteração for material avisamos-te por email, e quando afetar as cookies o banner voltará a pedir-te consentimento.
Contacto
Para qualquer questão sobre privacidade ou exercício de direitos, escreve para info@agenly.io.