Política de Privacidade do Portal de Clientes

Versão 1.0 · em vigor desde [data de publicação]

Esta política explica que dados pessoais são tratados no Portal de clientes da Inês Santos ([Nome do Portal], em portal.inesfsantos.pt), porquê, onde ficam, durante quanto tempo e que direitos tens. Aqui, "tu" és quem usa o Portal; o "Cliente" é a empresa ou o profissional que contratou os serviços da Inês.

1. Quem é responsável pelos teus dados

Inês Ferreira Santos, trabalhadora independente, NIF 239930452, [morada profissional], Arouca, Portugal. Email: info@inesfsantos.pt

A Inês não tem um encarregado de proteção de dados, porque a lei não o exige para a dimensão e o tipo de atividade dela. Qualquer questão sobre os teus dados vai para o email acima.

Dois papéis diferentes

Responsável pelo tratamento: para os dados da tua conta, o que escreves no Portal e os registos de segurança. A Inês decide como e porquê estes dados são tratados.
Subcontratante: quando o Cliente põe no Portal dados de outras pessoas (por exemplo, uma lista de contactos ou um print com dados de clientes dele), a Inês trata esses dados por conta do Cliente e segundo as instruções dele, nos termos do acordo de tratamento de dados do contrato. Nesse caso, quem responde pelos dados é o Cliente, e os pedidos dessas pessoas são encaminhados para ele.

2. Que dados tratamos

Categoria	Exemplos	De onde vêm
Conta	Nome, email, empresa, cargo, fotografia (opcional), telemóvel (opcional), preferências de notificação, data e versão em que aceitaste os termos	Do Cliente (no convite) e de ti (no perfil)
Entrada e segurança	Códigos de entrada (temporários), sessões, data e hora das entradas, endereço IP, tipo de navegador	Gerados quando usas o Portal
Trabalho no teu espaço	Tarefas, notas, comentários, menções, mensagens importantes, chat, resumos de reuniões, relatórios mensais, regras de "Como trabalhamos", links para a pasta do Google Drive	De ti, das pessoas da tua equipa e da Inês
Anexos	Imagens e ficheiros que anexas a tarefas, mensagens, comentários e chat	De ti e da Inês
Respostas a formulários	Respostas a formulários Google enviados pela Inês, que aparecem como mensagem importante	De quem preenche o formulário
Registo de atividade	Quem entrou, quem criou, mudou, tornou visível ou apagou o quê, e quando	Gerado pelo Portal
Emails enviados	Destinatário, assunto, data e estado da entrega das notificações e códigos	Gerado pelo Portal
Notas internas da Inês	Ficha do Cliente, guião e notas de reuniões, tarefas e mensagens internas (que não vês no Portal)	Da Inês

O que não queremos no Portal: palavras-passe, dados bancários ou de cartão, números de documentos de identificação e dados de saúde ou outras categorias especiais (art. 9.º do RGPD). Os Termos de Utilização pedem-te que não os ponhas aqui. Se for mesmo preciso partilhar algo deste género, fala primeiro com a Inês.

Não tomamos decisões automatizadas sobre ti nem criamos perfis teus. O Portal é para profissionais e não se destina a menores de 18 anos.

3. Para que usamos os dados e com que base legal

Finalidade	Base legal (RGPD, art. 6.º, n.º 1)
Criar e gerir a tua conta, deixar-te entrar e mostrar-te o espaço do Cliente	Execução do contrato (al. b), quando és tu quem contratou; interesse legítimo da Inês e do Cliente em executar o contrato entre ambos (al. f), quando és pessoa da equipa do Cliente
Prestar os serviços: tarefas, mensagens, reuniões, relatórios, ficheiros	Execução do contrato (al. b) / interesse legítimo (al. f), como acima
Enviar-te notificações por email e o resumo que escolheres no perfil	Execução do contrato / interesse legítimo; podes mudar ou desligar o resumo no teu perfil
Fotografia e telemóvel no perfil	Consentimento (al. a): são opcionais e podes apagá-los quando quiseres no teu perfil
Segurança: códigos de entrada, registo de entradas e de atividade, prevenção de acessos indevidos, cópias de segurança	Interesse legítimo (al. f) em proteger o Portal e os dados; e a obrigação de segurança do art. 32.º do RGPD
Guardar a prova de que aceitaste os termos e leste esta política	Interesse legítimo (al. f)
Cumprir obrigações legais e responder a autoridades	Obrigação jurídica (al. c)
Defender direitos em caso de litígio	Interesse legítimo (al. f)
Tratar dados de terceiros postos no Portal pelo Cliente	Por conta e segundo as instruções do Cliente, que é o responsável e tem de ter a sua própria base legal (art. 28.º)

Não usamos os teus dados para publicidade, não os vendemos e não os partilhamos com ninguém para fins próprios dessas entidades.

4. Quem vê os teus dados

Tu e as pessoas da tua empresa com acesso ao mesmo espaço: veem o que a Inês torna visível e o que vocês escrevem. Cada espaço está separado dos outros na própria base de dados; ninguém de outro Cliente consegue ver o teu.
A Inês: vê tudo o que está no espaço do Cliente, incluindo as notas internas.
Subcontratantes: os serviços técnicos da secção 6, só na medida necessária para o Portal funcionar.
Autoridades: só quando a lei o obrigar.

5. Onde ficam os dados

A base de dados e os anexos ficam no Supabase, na região Central EU (Frankfurt, Alemanha).
A aplicação corre na Vercel, configurada para processar os pedidos na região de Frankfurt [A CONFIRMAR na configuração: região fra1]. Como em qualquer site, o pedido pode passar por servidores da rede da Vercel perto de ti.
Os emails são enviados pela Resend, a partir da região da UE (Irlanda) [A CONFIRMAR na configuração].
Os ficheiros da pasta do Cliente continuam no Google Drive; o Portal só mostra os links.

Transferências para fora da UE

Alguns subcontratantes são empresas dos Estados Unidos e podem aceder a dados a partir de lá (por exemplo, para suporte técnico). Nesses casos a transferência está protegida pelo Quadro de Privacidade de Dados UE-EUA, quando a empresa está certificada, e/ou pelas cláusulas contratuais-tipo aprovadas pela Comissão Europeia, incluídas no acordo de tratamento de dados de cada um. Podes pedir à Inês mais informação ou uma cópia destas garantias.

6. Subcontratantes

Serviço	Para quê	Onde ficam os dados	Garantias
Supabase, Inc.	Base de dados, entrada no Portal, anexos, cópias de segurança	UE (Frankfurt)	Acordo de tratamento de dados (DPA) com cláusulas contratuais-tipo
Vercel Inc.	Alojamento da aplicação	UE (Frankfurt) para o processamento; rede global para a entrega	DPA com cláusulas contratuais-tipo / Quadro UE-EUA [A CONFIRMAR]
Resend (Plus Five Five, Inc.)	Envio dos códigos de entrada e das notificações por email	UE (Irlanda) [A CONFIRMAR]	DPA com cláusulas contratuais-tipo [A CONFIRMAR]
Google (Ireland) Ltd.	Pasta do Cliente no Google Drive e formulários Google	UE / global, segundo os termos da Google	Adenda de tratamento de dados do Google Workspace [A CONFIRMAR: só existe se a Inês usar uma conta Workspace]
Make (Celonis)	Passar as respostas dos formulários para o Portal	UE [A CONFIRMAR a região da conta]	DPA
Anthropic (Claude)	Assistente que a Inês usa para preparar relatórios e resumos de reuniões, com aprovação dela antes de escrever no Portal	EUA	[A CONFIRMAR: exige um plano com DPA; ver `tarefas-fora-do-portal.md`]

Se a lista mudar, a Inês avisa os Clientes por email com 30 dias de antecedência e atualiza esta secção.

O código do Portal está guardado no GitHub, sem dados de clientes.

7. Durante quanto tempo guardamos os dados

Dados	Prazo
Códigos de entrada	Expiram em [10] minutos e só servem uma vez
Conta, trabalho, anexos e registo de atividade	Enquanto durar o contrato com o Cliente
Conta de uma pessoa que deixa a equipa do Cliente	Acesso fechado assim que o Cliente avisar; dados do perfil apagados em 30 dias. O que essa pessoa escreveu fica no espaço do Cliente, com o nome dela, porque faz parte do histórico do trabalho (o Cliente pode pedir que fique anónimo)
Fim do contrato	O espaço é arquivado e o acesso fecha no último dia do contrato. Durante 6 meses o Cliente pode pedir uma cópia. A Inês avisa por email 30 dias antes de apagar. Aos 6 meses, tudo é apagado definitivamente, incluindo os anexos
Cópias de segurança	Cópias diárias guardadas 7 dias e exportações semanais guardadas 4 semanas, cifradas. Os dados apagados desaparecem das cópias, no máximo, cerca de 5 semanas depois
Registos técnicos dos fornecedores (pedidos, emails)	Segundo os prazos de cada fornecedor, em regra poucos dias ou semanas
Exceção	Se houver um litígio ou uma obrigação legal, guardamos apenas o necessário (por exemplo, o registo da aceitação dos termos e as comunicações relevantes) até isso ficar resolvido

As faturas não estão no Portal; seguem o prazo legal de conservação (10 anos) no programa de faturação.

8. Como protegemos os dados

Separação entre Clientes na própria base de dados: cada registo está ligado a um Cliente e a base de dados recusa entregá-lo a quem não pertence a esse espaço, ou entregar ao Cliente o que é interno (segurança ao nível da linha). Isto é testado com contas de teste antes de cada abertura.
Entrada sem palavra-passe para Clientes: em cada entrada recebes um código de 6 dígitos no teu email, que expira em poucos minutos e só serve uma vez.
Verificação em dois passos para a Inês: palavra-passe e código de uma app autenticadora, obrigatórios.
Cifragem: ligações sempre por HTTPS; dados e anexos cifrados no armazenamento do Supabase. Os anexos não têm links públicos: só abrem para quem tem acesso ao espaço, através de links temporários.
Chaves e acessos técnicos guardados fora do código, com verificação em dois passos em todas as contas de serviço.
Atualizações mensais das peças do Portal e revisão de segurança antes de abrir a novos Clientes.
Cópias de segurança diárias e semanais, cifradas.
Violações de dados: se acontecer um incidente que ponha em risco os teus dados, a Inês notifica a CNPD em 72 horas quando a lei o exige, avisa-te sem demora se houver risco elevado para ti, e avisa o Cliente quando estiverem em causa dados que trata por conta dele.

A segurança também depende de ti: como entras com um código enviado para o teu email, protege a tua caixa de email (com verificação em dois passos) e nunca partilhes os códigos.

9. Cookies

O Portal usa apenas cookies essenciais, sem os quais não consegues entrar nem manter a sessão aberta. Não há cookies de publicidade, de estatística nem de terceiros, por isso não aparece um aviso de cookies a pedir consentimento (Lei n.º 41/2004, art. 5.º).

Cookie / armazenamento	Para quê	Duração
Sessão de entrada (Supabase Auth, `sb-…-auth-token`) [A CONFIRMAR o nome na construção]	Manter-te com a sessão iniciada	Até saíres ou a sessão expirar
Armazenamento local do navegador	Lembrar preferências simples (por exemplo, o último separador aberto)	Até o apagares no navegador

Se no futuro for usado algum cookie não essencial, esta política é atualizada e o Portal passa a pedir o teu consentimento antes.

10. Os teus direitos

Tens direito a:

Acesso: saber que dados temos sobre ti e receber uma cópia, incluindo o que estiver nas notas internas sobre ti (com as limitações necessárias para proteger outras pessoas);
Retificação: corrigir dados errados (muitos podes corrigir tu no perfil);
Apagamento: pedir que os teus dados sejam apagados, quando não houver motivo para os guardar (por exemplo, enquanto o contrato está em curso, alguns dados são necessários para prestar o serviço);
Limitação: pedir que os dados fiquem guardados mas não sejam usados, em certos casos;
Portabilidade: receber os dados que nos deste num formato de uso corrente (por exemplo, CSV e os anexos);
Oposição: opor-te a tratamentos baseados em interesse legítimo, por motivos ligados à tua situação;
Retirar o consentimento (fotografia e telemóvel), apagando-os no perfil, sem afetar o que foi feito antes.

Como pedir: envia um email para info@inesfsantos.pt. A Inês responde no prazo de um mês (prorrogável por mais dois em casos complexos, com aviso). Pode pedir-te que confirmes a identidade, por exemplo respondendo a partir do email da tua conta. É gratuito, salvo pedidos manifestamente excessivos.

Se o pedido for sobre dados que o Cliente pôs no Portal e que a Inês trata por conta dele (secção 1), a Inês encaminha-o para o Cliente e ajuda-o a responder.

Reclamação: podes sempre apresentar queixa à Comissão Nacional de Proteção de Dados (CNPD), www.cnpd.pt.

11. Alterações a esta política

Se esta política mudar de forma importante, avisamos-te por email e no Portal com pelo menos 30 dias de antecedência, e pedimos que a leias de novo na entrada seguinte. As versões anteriores ficam disponíveis a pedido.

12. Contacto

Inês Ferreira Santos · info@inesfsantos.pt