Política de Privacidade

Os seus dados são tratados para as seguintes finalidades:

• Execução do contrato: Fornecer os serviços da plataforma, gestão de reservas e propriedades
• Cumprimento de obrigações legais: Reporte às autoridades competentes (SEF, Turismo de Portugal, AT)
• Interesses legítimos: Melhorar o serviço, análise estatística, prevenção de fraude
• Consentimento: Envio de comunicações de marketing, quando autorizado por si

Os seus dados podem ser partilhados com:

• Autoridades competentes: GNR e PSP, através do SIBA, para os boletins de alojamento (o SEF foi extinto em 2023); Turismo de Portugal; Autoridade Tributária; câmaras municipais, quanto à taxa turística — sempre e apenas quando legalmente obrigatório
• Subcontratantes, cada um com contrato de tratamento de dados:· IfthenPay (Portugal) — referências Multibanco e MB WAY
  · Microsoft 365 e AWS SES (UE) — envio de email
  · seven communications GmbH & Co. KG ("seven.io", Alemanha) — envio de SMS de alertas ao anfitrião (canal opcional, desligado por omissão; ativa-se em Definições). Recebe apenas o número de telemóvel do anfitrião e o texto do alerta — nunca dados de hóspedes além do primeiro nome
  · Anthropic PBC (EUA) — apenas nas duas ferramentas de texto do anfitrião (tradução de instruções e escrita da descrição do alojamento). Não toca em dados de hóspedes (ver secção 9)A leitura da fotografia do documento no check-in não tem subcontratante: é feita nos nossos servidores (ver secção 2).

Nunca vendemos os seus dados pessoais a terceiros para fins comerciais.

Implementamos medidas de segurança rigorosas:

• Encriptação SSL/TLS em todas as comunicações
• Encriptação de palavras-passe com bcrypt
• Autenticação de dois fatores (2FA) disponível
• Backups regulares e seguros
• Controlo de acessos baseado em funções (RBAC)
• Monitorização contínua de segurança
• Conformidade com normas ISO 27001

• Dados de conta: Enquanto a conta estiver ativa + 3 anos após inatividade
• Dados do boletim de alojamento (SIBA): 1 ano a contar do dia seguinte à comunicação da saída (art. 15.º, n.º 5, da Lei n.º 23/2007), sendo depois eliminados automaticamente
• Fotografias de documentos de identificação: não são armazenadas — processadas apenas para extração automática dos dados e eliminadas de imediato (minimização — art. 5.º RGPD)
• Dados fiscais: 10 anos (obrigação legal - Código do IRS e IRC)
• Dados de marketing: Até retirar o consentimento

Em conformidade com o RGPD, tem o direito de:

• Acesso: Solicitar uma cópia dos seus dados pessoais
• Retificação: Corrigir dados incorretos ou incompletos
• Apagamento: Solicitar a eliminação dos seus dados (direito ao esquecimento)
• Portabilidade: Receber os seus dados em formato estruturado
• Oposição: Opor-se ao tratamento dos seus dados
• Limitação: Solicitar a limitação do tratamento
• Retirar consentimento: Quando o tratamento se baseia em consentimento

Para exercer estes direitos, contacte-nos através de hello@harbor.pt

Quando regista uma conta na Harbor, podemos enviar-lhe ocasionalmente emails com sugestões para tirar mais partido da plataforma, lembretes sobre o seu período de teste e novidades do produto. A base legal é o seu consentimento (RGPD Art. 6º/1/a) e o nosso interesse legítimo em ajudar novos utilizadores a configurar o serviço.

Pode cancelar a subscrição em qualquer momento, sem necessidade de explicação:

• Clicando no link "Cancelar subscrição" no rodapé de qualquer email de marketing (single-click, sem login)
• Em Definições → Emails, ativando o toggle correspondente
• Por email para hello@harbor.pt

Mesmo após cancelar a subscrição, continuará a receber emails de serviço (confirmações de pagamento, comunicações ao SEF/AIMA, recuperação de password, alertas de segurança) — estes são legalmente exigidos para a prestação do serviço e não podem ser desativados sem encerrar a conta.

Conformidade: RGPD Art. 7º (revogação tão fácil como o consentimento), Art. 21º (direito de oposição), Lei 41/2004 (PT ePrivacy).

A Diretiva (UE) 2021/514 — conhecida como DAC-7 — entrou em vigor em Portugal a 1 de janeiro de 2024. Obriga as plataformas digitais que intermedeiam serviços (incluindo alojamento) a reportar anualmente à Autoridade Tributária os rendimentos dos seus utilizadores.

A Harbor não é uma plataforma DAC-7 abrangida — não cobramos ao hóspede em seu nome nem intermediamos transações. O reporte DAC-7 que lhe diz respeito é feito pelo Airbnb, Booking, Vrbo e outras plataformas onde anuncia o seu alojamento.

A AT cruza automaticamente os rendimentos reportados pelas plataformas com a sua declaração de IRS e com as comunicações ao SEF/AIMA. Se utiliza a Harbor para gestão da operação, recomendamos manter os dados sempre atualizados — facilita o cruzamento e reduz o risco de notificação.

Enviamos ocasionalmente emails de apresentação do Harbor a empresas que exploram alojamento local. Se recebeu um e está a perguntar-se onde fomos buscar o seu contacto, a resposta está aqui.

De onde vêm os dados. Do Registo Nacional de Alojamento Local (RNAL), o registo público do Turismo de Portugal, disponibilizado sob licença CC-Zero. Usamos o email do operador, o nome da empresa, o NIPC, o nome do alojamento e o concelho — nada mais.

Só contactamos empresas. A prospeção por email é restrita a pessoas coletivas. Operadores registados como pessoa singular ou empresário em nome individual estão excluídos.

Com que fundamento. Interesse legítimo (RGPD, art. 6.º/1/f): o Harbor resolve uma obrigação legal que recai diretamente sobre o destinatário — a comunicação dos boletins de alojamento. Fizemos a avaliação escrita que a lei exige para invocar este fundamento, e ela inclui limites de volume, de frequência e de segmentação. Pode pedir-nos uma cópia.

Como fazer parar. Cada email leva um link de cancelamento que funciona num clique, sem login e sem ter de explicar porquê. Também pode escrever ao nosso Encarregado de Proteção de Dados — carlos.pinto@dmy.pt — e opor-se ao tratamento (art. 21.º), o que cessa os envios de imediato. Se preferir, apagamos o registo por completo em vez de o manter em lista de supressão.

Quanto tempo guardamos. 24 meses após o último contacto. Em caso de oposição, o registo é apagado e o endereço fica em supressão permanente, para não voltar a entrar numa importação futura do RNAL.

O envio é feito através do Microsoft 365 (Microsoft Ireland). Estes emails não saem da União Europeia.