Esta política explica como a Aprimora.pt trata os dados pessoais na plataforma Aprimora.pt, em conformidade com o Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679, «RGPD») e com a Lei n.º 58/2019, de 8 de agosto, que assegura a sua execução em Portugal.
Responsável pelo tratamento: Aprimora.pt, NIPC [NIPC], com sede em [morada]. Contacto para questões de privacidade: [e-mail de contacto para privacidade]. Para assuntos gerais de suporte: suporte@aprimora.pt.
2. O nosso papel: responsável e subcontratante
O Aprimora.pt é um software de gestão usado por empresas («clientes»). Tratamos dados pessoais em dois papéis distintos:
Como responsável pelo tratamento, quanto aos dados das pessoas que usam a plataforma (contas de utilizador, contactos comerciais, faturação do serviço, segurança e estatísticas de utilização).
Como subcontratante (art. 28.º do RGPD), quanto aos dados que cada cliente introduz na plataforma sobre os seus próprios clientes, leads, fornecedores e trabalhadores. Nesses casos, o responsável é a empresa cliente, e tratamos os dados apenas segundo as suas instruções e o contrato de subcontratação celebrado com ela. Os pedidos dos titulares sobre esses dados devem ser dirigidos à empresa cliente; se nos chegarem, encaminhamo-los.
3. Que dados tratamos
Dados de conta: nome, e-mail, telefone, empresa, função e perfil de acesso; palavra-passe (guardada apenas em forma cifrada pelo serviço de autenticação).
Dados introduzidos pelos clientes: clientes, leads, contactos, moradas, NIF, transações, contas a pagar e a receber, ordens de serviço, obras, fotografias, documentos e mensagens enviadas a partir da plataforma.
Dados de trabalhadores do cliente: registos de ponto e de atividade e, quando o cliente ativa essa função e o dispositivo o autoriza, a localização (GPS) no momento do registo de ponto ou do início de uma ordem de serviço.
Dados de integrações: quando o cliente liga serviços externos (Google Agenda, Google Ads, fornecedores de WhatsApp), guardamos os tokens de acesso e os dados que essas integrações devolvem.
Dados técnicos e de utilização: endereço IP, tipo de navegador e dispositivo, páginas visitadas, ações realizadas, datas e horas de acesso e registos de erros.
A plataforma não processa pagamentos nem guarda dados de cartões: a contratação e a faturação do serviço são feitas diretamente com a Aprimora.pt.
4. Finalidades e fundamentos de licitude
Tratamos os dados apenas para as finalidades seguintes, cada uma com o fundamento previsto no art. 6.º, n.º 1, do RGPD:
Prestar o serviço (criar e gerir contas, dar acesso às funcionalidades, enviar e-mails de serviço como convites, lembretes e resumos): execução do contrato — alínea b).
Funcionalidades de inteligência artificial pedidas pelo utilizador (assistente, categorização de transações, propostas): execução do contrato — alínea b).
Faturação do serviço e cumprimento de obrigações fiscais, contabilísticas e legais: obrigação legal — alínea c).
Segurança (autenticação, prevenção de abuso e de acessos indevidos, verificação anti-robô, registos de erros e cópias de segurança): interesses legítimos em proteger a plataforma e os dados dos clientes — alínea f).
Estatísticas de utilização e melhoria do produto: consentimento — alínea a). Pode retirar o consentimento a qualquer momento, sem afetar a licitude do tratamento feito até então.
Contactos comerciais com empresas que nos pedem informação: diligências pré-contratuais a pedido do interessado — alínea b).
Não tomamos decisões exclusivamente automatizadas que produzam efeitos jurídicos ou afetem significativamente os titulares (art. 22.º do RGPD). As sugestões da inteligência artificial são apenas apoio ao utilizador.
5. Subcontratantes
Recorremos aos seguintes prestadores, que tratam dados por nossa conta, com contrato de subcontratação nos termos do art. 28.º do RGPD:
Supabase — base de dados, autenticação e armazenamento de ficheiros (região: [região do projeto Supabase]).
[fornecedor de alojamento da aplicação] — alojamento e execução da aplicação web e das tarefas agendadas (Vercel ou servidor próprio, conforme a instalação).
Resend — envio de e-mails transacionais.
PostHog — estatísticas de utilização e registo de erros (apenas com consentimento).
Google — modelos de IA Gemini (processamento dos pedidos feitos ao assistente) e, se o cliente as ligar, as integrações Google Agenda e Google Ads.
Cloudflare — proteção da rede e verificação anti-robô (Turnstile) no início de sessão.
Fornecedores de WhatsApp (Meta WhatsApp Business ou outro fornecedor escolhido pelo cliente) — envio de mensagens, apenas quando o cliente configura essa integração.
Não vendemos dados pessoais nem os partilhamos com terceiros para fins de publicidade. Podemos comunicar dados a autoridades públicas quando a lei o exija.
6. Transferências internacionais
Alguns dos prestadores acima estão sediados, ou têm servidores, fora do Espaço Económico Europeu, nomeadamente nos Estados Unidos. Essas transferências só são feitas com as garantias do capítulo V do RGPD: decisão de adequação da Comissão Europeia (incluindo o Quadro de Privacidade de Dados UE-EUA, para entidades certificadas) ou cláusulas contratuais-tipo aprovadas pela Comissão Europeia, com medidas complementares quando necessárias. Pode pedir-nos informação sobre as garantias aplicáveis a cada prestador através do contacto de privacidade.
7. Prazos de conservação
Dados da conta e dados introduzidos pelo cliente: enquanto o contrato estiver em vigor. Após o cancelamento, ficam disponíveis durante 60 dias para exportação ou recuperação e são depois eliminados, salvo instrução diferente do cliente.
Documentos de faturação do serviço: pelo prazo exigido pela legislação fiscal e contabilística portuguesa (em regra, 10 anos).
Registos técnicos e de segurança: [prazo de conservação dos registos técnicos].
Estatísticas de utilização: [prazo de conservação no PostHog], ou até retirar o consentimento.
Cópias de segurança: os dados eliminados podem permanecer nas cópias de segurança até à sua rotação automática, sem serem usados para outros fins.
8. Segurança
Os dados são transmitidos com cifragem (TLS) e guardados cifrados em repouso. Cada empresa só acede aos seus próprios dados (isolamento por empresa com Row Level Security na base de dados), e o acesso dentro da empresa depende do perfil de cada utilizador. Em caso de violação de dados pessoais, cumprimos os deveres de notificação previstos nos arts. 33.º e 34.º do RGPD.
9. Os seus direitos
Nos termos dos arts. 15.º a 21.º do RGPD, tem direito a:
Acesso — saber se tratamos dados seus e obter uma cópia;
Retificação — corrigir dados inexatos ou incompletos;
Apagamento — pedir a eliminação dos dados, quando não houver motivo legal para os conservar;
Limitação do tratamento — pedir que os dados fiquem guardados mas sem outro uso, nos casos previstos na lei;
Portabilidade — receber os dados que nos forneceu num formato estruturado e de uso corrente (por exemplo, CSV) ou pedir o envio a outra entidade;
Oposição — opor-se ao tratamento baseado em interesses legítimos;
Retirar o consentimento — a qualquer momento, quando o tratamento se baseie no consentimento.
Para exercer estes direitos, contacte [e-mail de contacto para privacidade]. Respondemos no prazo de um mês, prorrogável nos termos do art. 12.º, n.º 3, do RGPD. Podemos pedir informação adicional para confirmar a sua identidade. O exercício dos direitos é gratuito.
Tem ainda o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), em www.cnpd.pt, ou à autoridade de controlo do Estado-Membro onde reside ou trabalha.
10. Cookies e tecnologias semelhantes
Essenciais: cookies e armazenamento local necessários para iniciar sessão, manter a sessão ativa, guardar preferências (como o tema claro ou escuro) e proteger o formulário de início de sessão. Não precisam de consentimento.
Estatísticas (PostHog): medem páginas visitadas e erros para melhorarmos o produto. Só são ativadas com o seu consentimento, que pode retirar a qualquer momento.
Não usamos cookies de publicidade.
11. Alterações a esta política
Podemos atualizar esta política para refletir mudanças no serviço ou na lei. A data no topo indica a última atualização; alterações relevantes são comunicadas por e-mail aos utilizadores.