Política de privacidade

Versão de [data]. ⚠️ [Jurista: fixar a data.] 1. Quem é o responsável [Nome completo ou firma do responsável], com morada em [morada] e número de identificação [NIF ou registo]. Contacto para questões de privacidade: [email protected]. ⚠️ [Jurista: o responsável está no Brasil e oferece o serviço na UE. Confirmar a obrigação de designar um representante na UE (artigo 27.º do RGPD) e se é necessário um encarregado de proteção de dados.] 2. Os dois papéis do Provado - Dados da conta da agência (e-mail, palavra-passe, marca e pagamento): o Provado é o responsável pelo tratamento. - Conteúdos dos sites dos clientes da agência (imagens, HTML e relatórios): o Provado trata-os por conta da agência, que é a responsável. Quem quiser exercer direitos sobre estes conteúdos deve dirigir-se à agência; nós ajudamos a agência a responder. ⚠️ [Jurista: confirmar esta divisão de papéis e formalizá-la no acordo de tratamento de dados.] 3. Que dados tratamos - Conta: e-mail, palavra-passe (guardada apenas em forma cifrada, que não permite lê-la) e as datas de criação e de confirmação do e-mail. - Agência: nome, logótipo, cor, e-mail de contacto que aparece no relatório e opções do relatório. - Clientes da agência: nome do cliente, endereço do site, páginas a verificar, nota da agência e a declaração de autorização. - Resultados: verificações, imagens do topo das páginas, cópias do HTML e relatórios em PDF. São conteúdos públicos, mas podem incluir dados pessoais publicados no site (por exemplo, nomes ou contactos). - Pagamento: o identificador de cliente e o estado da assinatura na Stripe. Os dados do cartão ficam apenas na Stripe. - Segurança: para limitar tentativas de entrada e a criação de contas em massa, guardamos o endereço IP e o e-mail apenas numa forma protegida (um código HMAC, que não permite recuperar o valor original), durante no máximo 24 horas. - Captcha: nos formulários de criar conta, entrar e recuperar a palavra-passe, a Cloudflare (Turnstile) analisa sinais técnicos do navegador, incluindo o endereço IP, para confirmar que não se trata de um robô. - E-mails de serviço: registo dos e-mails enviados (confirmação de conta, aprovação e avisos sobre relatórios e assinatura). - Revisão manual: quando uma conta ou um site passa por revisão, a pessoa que opera o Provado recebe por e-mail os dados necessários para decidir (e-mail da conta, nome da agência e site) e um link para aprovar ou recusar. 4. Para que usamos os dados e com que base legal - Prestar o serviço (conta, verificações, relatórios, e-mails de serviço e apoio): execução do contrato (artigo 6.º, n.º 1, alínea b) do RGPD). - Segurança e prevenção de abusos (limites de tentativas, captcha e revisão manual): interesse legítimo em proteger o serviço, as contas e os sites visitados (alínea f). - Faturação e obrigações fiscais: cumprimento de obrigação legal (alínea c). Não enviamos publicidade sem consentimento. Não vendemos dados, não os usamos para publicidade e não os usamos para treinar modelos de inteligência artificial. Não tomamos decisões automatizadas com efeitos jurídicos sobre pessoas: a revisão manual é decidida por uma pessoa. ⚠️ [Jurista: confirmar as bases legais e se é preciso documentar a ponderação do interesse legítimo.] 5. Cookies Usamos apenas cookies estritamente necessários: os cookies de sessão "seo-agencias-auth", que mantêm a sessão iniciada durante até 30 dias. Não são acessíveis a scripts da página. Não usamos cookies de análise nem de publicidade, e por isso não pedimos consentimento. ⚠️ [Jurista: confirmar se o Turnstile e a rede da Cloudflare gravam cookies ou outro armazenamento no navegador e se isso exige aviso ou consentimento.] 6. Com quem partilhamos os dados Só com os fornecedores necessários ao serviço, cada um apenas para a sua função: - Supabase: base de dados, login e ficheiros. Os dados ficam guardados em Frankfurt (Alemanha). - Stripe: pagamentos, assinaturas e faturas. - Cloudflare: captcha (Turnstile) e encaminhamento protegido do tráfego do site. - Brevo (França): envio dos e-mails de serviço. - Servidor: nesta fase, o site e o verificador funcionam num computador do responsável no Brasil. Os dados passam por ele quando são processados (por exemplo, ao gerar imagens e PDF). Fora destes casos, só partilhamos dados quando a lei o obriga. ⚠️ [Jurista: confirmar a entidade contratante e o acordo de tratamento de dados de cada fornecedor (Supabase Inc., Stripe, Cloudflare Inc., Sendinblue SAS/Brevo) e se a Stripe atua como responsável autónoma para parte dos dados.] 7. Transferências para fora do Espaço Económico Europeu Alguns fornecedores são empresas dos Estados Unidos (Supabase e Cloudflare), e o servidor e o responsável estão no Brasil. Nestes casos, a transferência apoia-se em [decisão de adequação, como o Quadro de Privacidade de Dados UE-EUA, ou cláusulas contratuais-tipo]. ⚠️ [Jurista: confirmar a garantia aplicável a cada transferência, em especial para o Brasil. Recomendação técnica: passar o servidor para a UE antes de abrir ao público.] 8. Quanto tempo guardamos - Conta, agência, clientes, verificações, imagens, HTML e relatórios: enquanto a conta existir. - IP e e-mail protegidos (HMAC) das tentativas de acesso e de criação de contas: até 24 horas. - Registo dos e-mails de serviço enviados: até 90 dias. - Link de aprovação da revisão manual: válido durante 7 dias. - Faturas: guardadas pela Stripe durante o prazo exigido pela lei fiscal. Ao apagar a conta, apagamos de imediato todos os dados e ficheiros associados, com novas tentativas automáticas se alguma parte falhar. A Stripe mantém o registo de cliente e as faturas. ⚠️ [Jurista e equipa técnica: definir o prazo das contas criadas e nunca confirmadas, dos registos técnicos do servidor (sugestão: 30 dias) e das cópias de segurança; avaliar um prazo máximo para imagens e HTML antigos (por exemplo, 13 meses).] 9. Os seus direitos Pode pedir acesso aos seus dados, a sua retificação, apagamento, limitação ou portabilidade, e opor-se ao tratamento baseado em interesse legítimo. Pode corrigir a maior parte dos dados nas páginas Marca e Conta e apagar tudo na página Conta. Para o resto, escreva para [email protected]. Respondemos no prazo de um mês. Pode também apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD, Portugal, www.cnpd.pt), à Agencia Española de Protección de Datos (AEPD, Espanha, www.aepd.es) ou à autoridade do país onde vive ou trabalha. 10. Segurança - Ligações cifradas (HTTPS). - Cada agência só acede aos seus próprios dados, por regras aplicadas na própria base de dados. - Ficheiros (logótipos, imagens, HTML e relatórios) em armazenamento privado. - Palavra-passe com pelo menos 10 caracteres, letras e números, e recusa de palavras-passe muito comuns. - Limites de tentativas e captcha no acesso à conta. Em caso de violação de dados, notificamos a autoridade de controlo no prazo de 72 horas quando a lei o exige e avisamos as agências afetadas. ⚠️ [Equipa técnica: escrever o procedimento interno de resposta a incidentes.] 11. Alterações a esta política Publicamos sempre a nova versão nesta página, com a data. Quando a mudança for importante, avisamos por e-mail.