1. Identificação do Responsável pelo Tratamento

A presente Política de Privacidade descreve o modo como a empresa MOMENTO FORMOSO UNIPESSOAL LDA, contribuinte n.º 517 517 582 (doravante "VR Arena", "nós" ou "Responsável"), trata os dados pessoais dos visitantes, clientes e utilizadores dos seus serviços.

Encarregado de Proteção de Dados (DPO): o Responsável não está obrigado à designação de um DPO nos termos do artigo 37.º do RGPD, não tendo procedido a essa designação. O ponto de contacto para todas as questões de proteção de dados é info@vr-arena.pt.

A presente Política aplica-se ao tratamento de dados pessoais efetuado através do sítio vr-arena.pt (incluindo cookies e ferramentas de análise e publicidade), do sistema de reservas Resova, das interações telefónicas, presenciais, por correio eletrónico e por aplicações de mensagens, bem como dos sistemas de videovigilância instalados no estabelecimento.

2. Dados Pessoais Tratados

a) Dados de identificação e contacto: nome completo, idade ou data de nascimento, número de telefone, endereço de e-mail, identificador em aplicações de mensagens (WhatsApp, Instagram, Messenger).

b) Dados relativos a menores: nome, idade, e identificação do(s) representante(s) legal(ais), quando aplicável.

c) Dados de pagamento: dados estritamente necessários ao processamento de pagamentos, tratados diretamente pelos prestadores de serviços de pagamento (não armazenamos dados completos de cartão).

d) Imagens fotográficas e vídeos: captados durante eventos, utilizados exclusivamente nos termos do ponto 6.

e) Conteúdos de comunicações: registo de comunicações trocadas com o cliente em todos os canais (telefone, e-mail, mensagens, presencial), conforme o ponto 8.

f) Imagens de videovigilância: conforme o ponto 7.

g) Dados de saúde: o titular (ou o seu representante legal, no caso de menor) pode declarar, na reserva ou no estabelecimento, condições de saúde com relevância para a participação, designadamente para proteção do próprio. A declaração de saúde subscrita é conservada para defesa de direitos nos termos do ponto 5, com o fundamento do artigo 9.º, n.º 2, alínea f), do RGPD (declaração, exercício ou defesa de direitos). Fora da declaração subscrita, não são conservados outros dados de saúde após o termo da participação.

h) Dados de utilização do sítio, análise e publicidade: endereço IP ou informação técnica obtida na ligação, identificadores de cookies, identificadores de dispositivo ou navegador, identificadores pseudonimizados (designadamente o Client ID do Google Analytics e identificadores de píxeis de publicidade), tipo de dispositivo, navegador, sistema operativo, localização aproximada, origem do acesso, páginas visitadas, eventos de interação e demais dados de navegação, nos termos do ponto 14. No Google Analytics 4, os endereços IP individuais dos utilizadores da UE/EEE/Reino Unido/Suíça não são conservados nos relatórios.

3. Finalidades do Tratamento

• Gestão de reservas, marcação e prestação dos serviços contratados.
• Faturação e cumprimento de obrigações fiscais e contabilísticas.
• Comunicação com o cliente sobre a sua reserva.
• Verificação do limite mínimo de idade e do regime aplicável a menores.
• Proteção da segurança de pessoas e bens, através de videovigilância.
• Controlo de qualidade do atendimento, registo de acordos e gestão do histórico de cliente em CRM.
• Marketing direto (newsletter, comunicações comerciais por e-mail), mediante consentimento prévio e expresso.
• Divulgação da atividade nas redes sociais e materiais promocionais, mediante consentimento específico, separado e revogável (ponto 6).
• Defesa de direitos em sede judicial, extrajudicial, administrativa ou pré-contenciosa, designadamente em caso de sinistro.
• Cumprimento de obrigações legais.
• Análise de utilização do sítio, mediante consentimento para cookies analíticos (ponto 14).
• Publicidade e remarketing nas plataformas Google, Meta e Microsoft, mediante consentimento para cookies de publicidade (ponto 14).

4. Fundamentos Jurídicos

• Execução de contrato (art. 6.º, n.º 1, al. b)): gestão de reservas, prestação de serviços e comunicações relacionadas.
• Cumprimento de obrigação legal (art. 6.º, n.º 1, al. c)): faturação, contabilidade, retenção fiscal e conservação de documentos comerciais.
• Interesse legítimo (art. 6.º, n.º 1, al. f)): videovigilância, gestão de histórico de cliente em CRM, qualidade do serviço, gravação de chamadas para defesa de direitos, e gestão de sinistros.
• Consentimento (art. 6.º, n.º 1, al. a)): marketing direto, utilização de imagem para fins promocionais, e cookies analíticos e de publicidade (ponto 14).
• Consentimento explícito (art. 9.º, n.º 2, al. a)): dados de saúde no momento da sua declaração voluntária para proteção do próprio durante a atividade.
• Defesa de direitos (art. 9.º, n.º 2, al. f)): conservação da declaração de saúde subscrita pelo prazo indicado no ponto 5, para exercício ou defesa de direitos (designadamente em caso de sinistro).
• Consentimento parental (art. 8.º do RGPD e art. 16.º da Lei n.º 58/2019): tratamento de dados de menores de 13 anos com base no consentimento e, em qualquer caso, marketing relativo a menores de 18 anos.

5. Prazos de Conservação

Findos estes prazos, os dados são eliminados ou anonimizados, salvo (i) obrigação legal de conservação superior ou (ii) necessidade de conservação para defesa de direitos em processos pendentes ou previsíveis (designadamente um processo judicial ou um sinistro em curso).

6. Imagem e Marketing — Consentimento Específico

6.1. A utilização de fotografias e vídeos do titular para fins de divulgação da VR Arena — redes sociais (Instagram, Facebook, TikTok), sítio web, materiais impressos e campanhas — depende de consentimento prévio, específico, informado e expresso do titular ou, no caso de menores, do(s) representante(s) legal(ais).

6.2. O consentimento é recolhido: online, através de caixa de verificação dedicada e separada na plataforma de reservas, não pré-assinalada por defeito, distinta da aceitação dos Termos e Condições; presencialmente, através de formulário próprio assinado na receção; para menores, através do formulário de consentimento parental, com indicação específica e separada da finalidade promocional.

6.3. O consentimento pode ser revogado a qualquer momento, sem custo, mediante comunicação para info@vr-arena.pt, sendo as imagens retiradas das publicações sob nosso controlo no prazo máximo de 15 dias úteis. A revogação não afeta a licitude do tratamento anterior.

6.4. A ausência de consentimento não impede a participação. Será sempre disponibilizada ao cliente, mediante pedido, cópia privada das fotografias e vídeos da sua sessão.

6.5. O Responsável pode captar e divulgar imagens gerais do estabelecimento, nas quais os participantes não sejam individualmente identificáveis, sem necessidade de consentimento específico.

7. Videovigilância

• Finalidades: proteção da segurança de pessoas e bens, prevenção e investigação de atos ilícitos, registo de danos a equipamento, gestão de sinistros e defesa de direitos. As imagens não são utilizadas para controlo de desempenho ou avaliação dos colaboradores.
• Áreas vigiadas: áreas comuns e área de jogo, com exclusão de instalações sanitárias, vestiários e demais áreas reservadas, e dos terminais de pagamento (sem captação de PIN/dados de cartão).
• Fundamento jurídico: interesse legítimo (art. 6.º, n.º 1, al. f), do RGPD) e art. 19.º da Lei n.º 58/2019, suportado por avaliação de interesse legítimo documentada internamente.
• Prazo de conservação: 30 dias, com eliminação nas 48 horas seguintes, nos termos do art. 31.º da Lei n.º 34/2013, salvo necessidade de prova em processo pendente.
• Acesso: restrito ao gerente e, mediante requisição legal, a autoridades judiciárias ou policiais.
• Sinalização: estabelecimento sinalizado à entrada e nas áreas vigiadas, nos termos das orientações da CNPD.

8. Registo de Comunicações com o Cliente

8.1. O Responsável regista e gere em sistema de CRM o histórico de comunicações com o cliente:

• Chamadas telefónicas para o número +351 919 777 900: são gravadas, sendo o autor da chamada informado por aviso no início da chamada. Finalidade: qualidade do atendimento e registo de acordos comerciais. Prazo: 12 meses, salvo prova em processo pendente.
• Correio eletrónico (domínio vr-arena.pt) e aplicações de mensagens (WhatsApp, Instagram Direct, Facebook Messenger): conservados no CRM para gestão da relação contratual, apoio ao cliente e defesa de direitos.

8.2. Fundamentos: execução de contrato (art. 6.º, n.º 1, al. b)) para comunicações associadas a reserva; consentimento (art. 6.º, n.º 1, al. a)) para a gravação de chamadas, manifestado pela continuação da chamada após o aviso; interesse legítimo (art. 6.º, n.º 1, al. f)) para a gestão do histórico em CRM.

8.3. O titular que não pretenda ser gravado pode opor-se no início da chamada e optar por e-mail ou contacto presencial.

9. Menores

9.1. A participação de menores de 18 anos está sujeita a consentimento escrito do(s) representante(s) legal(ais), recolhido através de formulário próprio (Buzzshot ou impresso), incluindo: autorização de participação; declaração de condições de saúde; consentimento (opcional e separado) para utilização de imagem.

9.2. Nos termos do artigo 8.º do RGPD e do artigo 16.º da Lei n.º 58/2019, o tratamento de dados de menores de 13 anos com base no consentimento depende sempre da autorização do(s) representante(s) legal(ais); para marketing, o consentimento parental é exigido para qualquer menor de 18 anos.

9.3. A declaração de saúde de menores é conservada nos termos do ponto 5. O consentimento pode ser revogado a qualquer momento.

10. Destinatários dos Dados — Subcontratantes e Responsáveis Conjuntos

10.1. Os dados pessoais não são vendidos a terceiros, sem prejuízo da utilização de cookies de publicidade (ponto 14), sujeita a consentimento.

10.2. Subcontratantes que tratam dados em nome do Responsável, ao abrigo de contrato de subcontratação nos termos do artigo 28.º do RGPD:

• Resova — sistema de reservas.
• Buzzshot — gestão de formulários e termos de responsabilidade.
• Kommo — sistema de CRM e gestão de comunicações.
• Zadarma (VOICE CLOUD S.L.) — telefonia em nuvem e gravação de chamadas.
• Stripe e outros prestadores de serviços de pagamento.
• Google Ireland Limited / Google LLC — Google Analytics 4 (medição).
• Prestadores de serviços de alojamento web, e-mail e armazenamento em nuvem.
• Contabilista certificado responsável pela contabilidade.

10.3. Responsáveis conjuntos pelo tratamento (art. 26.º do RGPD): quanto aos dados recolhidos pelas ferramentas de publicidade, os seguintes operadores atuam como responsáveis conjuntos, definindo finalidades próprias:

• Meta Platforms Ireland Limited / Meta Platforms, Inc. — Meta Pixel e Meta Ads.
• Google Ireland Limited / Google LLC — Google Ads (nas funções em que a Google determina finalidades próprias).
• Microsoft Ireland Operations Limited / Microsoft Corporation — Microsoft Advertising (Bing) e Universal Event Tracking (UET).

10.4. Outros destinatários: autoridades públicas (mediante requisição legal fundamentada) e companhia seguradora (em caso de sinistro).

10.5. Todos os subcontratantes estão vinculados por contrato escrito; com os responsáveis conjuntos vigoram os respetivos termos de responsabilidade conjunta.

11. Transferências Internacionais

11.1. Alguns destinatários tratam ou podem tratar dados fora do Espaço Económico Europeu (EEE). As transferências realizam-se com base em garantias adequadas nos termos do Capítulo V do RGPD:

11.2. As Cláusulas Contratuais-Tipo aplicáveis são as aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia, funcionando igualmente como garantia complementar para situações não abrangidas por decisão de adequação.

11.3. Os titulares podem obter cópia das garantias aplicáveis mediante pedido para info@vr-arena.pt.

12. Direitos do Titular

12.1. Nos termos dos artigos 15.º a 22.º do RGPD: acesso; retificação; apagamento (salvo obrigação legal ou defesa de direitos); limitação; portabilidade; oposição (designadamente a marketing); revogação do consentimento a qualquer momento sem afetar a licitude do tratamento prévio; e não sujeição a decisões individuais automatizadas com efeitos jurídicos relevantes (que o Responsável não realiza).

12.2. Exercício através de info@vr-arena.pt, com identificação do titular e descrição do pedido. Resposta no prazo máximo de 30 dias, prorrogável por mais 60 dias em casos complexos.

12.3. Gratuito, salvo pedidos manifestamente infundados ou excessivos.

13. Direito de Reclamação à Autoridade de Controlo

13.1. Sem prejuízo do contacto direto com o Responsável, o titular pode reclamar junto da autoridade de controlo competente em Portugal:

13.2. Nos termos do artigo 77.º do RGPD, o titular residente noutro Estado-Membro da UE pode igualmente apresentar reclamação junto da autoridade de controlo do seu Estado de residência habitual ou local de trabalho.

14. Cookies, Análise e Publicidade

14.1. O sítio vr-arena.pt utiliza cookies e tecnologias semelhantes. Os cookies estritamente necessários ao funcionamento técnico não dependem de consentimento. Os cookies não essenciais — analíticos e de publicidade — só são utilizados após obtenção do consentimento do utilizador, recolhido através do banner de gestão de consentimento (CookieYes) apresentado na primeira visita, conforme exigido pela Lei n.º 41/2004 e pelo RGPD para utilizadores no EEE.

14.2. Análise (Google Analytics 4): utilizado para compreender como os visitantes utilizam o sítio. A VR Arena não utiliza o Google Analytics para identificar um visitante específico e não envia nome, telefone, e-mail, dados de pagamento, dados de saúde ou outros dados diretamente identificadores. Para utilizadores da UE/EEE/Reino Unido/Suíça, o Google Analytics 4 não conserva endereços IP individuais nos relatórios.

14.3. Publicidade e remarketing:

• Meta Pixel (Meta Platforms) — campanhas e remarketing nas plataformas Meta (Facebook, Instagram).
• Microsoft/Bing — Universal Event Tracking (UET) (Microsoft Advertising) — campanhas e remarketing Microsoft.
• Google Ads (Google) — medição de conversões e remarketing Google.

Ativadas apenas após consentimento para cookies de publicidade.

14.4. Gestão de consentimento e Consent Mode v2: o sítio está configurado de modo a que os cookies analíticos e de publicidade não sejam instalados, e os respetivos sinais não sejam transmitidos, antes da obtenção do consentimento, sendo a sinalização gerida através da plataforma CookieYes e, quanto aos serviços Google, do Google Consent Mode v2.

14.5. Utilização de dados pelo Google: para mais informação sobre como a Google trata os dados pessoais quando o utilizador dá o seu consentimento, consulte o Google Business Data Responsibility Site: business.safety.google/privacy.

14.6. Categorias e lista de cookies utilizados:

Cookies estritamente necessários (não dependem de consentimento):

Cookies analíticos (requerem consentimento):

Cookies de publicidade e remarketing (requerem consentimento):

Nota técnica (a sincronizar): os nomes e prazos exatos devem ser confirmados com a verificação automática (scan) do CookieYes e mantidos atualizados.

14.7. Gestão pelo utilizador: o utilizador pode aceitar, recusar ou alterar o consentimento a qualquer momento através do ícone/ligação de definições de cookies no sítio ou das definições do navegador; a retirada é tão simples como a prestação. Fundamento: consentimento (art. 6.º, n.º 1, al. a), do RGPD).

15. Alterações à Política de Privacidade

15.1. A presente Política pode ser atualizada. A versão em vigor está sempre disponível em vr-arena.pt/politica-de-privacidade.

15.2. Alterações materiais serão comunicadas, sempre que possível, com aviso prévio.