Política de privacidade
Versão 1 · em vigor desde 15/10/2026
Guardamos o mínimo para o Bolas Planner funcionar, na União Europeia. Não vendemos dados nem os usamos para publicidade. Podes descarregar ou apagar os teus dados quando quiseres.
1. Quem somos
O responsável pelo tratamento dos dados da tua conta é [NOME DA EMPRESA], NIF [NIF], com sede em [MORADA]. Contacto de privacidade: [EMAIL DE PRIVACIDADE].
O que a tua equipa escreve numa organização (tickets, comentários, páginas e anexos) pertence à organização. Para esses dados, a tua empresa é a responsável e nós tratamo-los por conta dela, segundo o Contrato de tratamento de dados (RGPD, art. 28.º).
2. Que dados tratamos, para quê e com que base legal
| Dados | Para quê | Base legal (RGPD, art. 6.º) |
|---|---|---|
| Nome, email, palavra-passe (guardada de forma protegida), foto, língua, fuso horário | Criar e gerir a tua conta | Execução do contrato |
| Função e nome a mostrar (opcionais) | Preparar o ecrã inicial e mostrar o teu nome como preferes | Execução do contrato |
| Verificação em dois passos, histórico de entradas, dispositivo e rede (só em resumo) | Proteger a tua conta e detetar abusos | Interesse legítimo (segurança) |
| Emails de aviso e de segurança | Avisos que escolheste e alertas de segurança | Execução do contrato; interesse legítimo |
| Registos de erros (sem o conteúdo que escreves) | Manter o serviço a funcionar | Interesse legítimo |
| Versão dos termos que aceitaste e quando | Provar o acordo | Obrigação legal; interesse legítimo |
| País, tamanho e setor da organização | Lei aplicável, faturação futura e sugestões de fluxos | Execução do contrato |
| Endereço de rede e dados técnicos do navegador na verificação anti-robôs (Cloudflare Turnstile), ao entrar e ao criar conta | Proteger o serviço contra ataques automáticos | Interesse legítimo (segurança) |
Não tratamos categorias especiais de dados (por exemplo, de saúde) por nossa iniciativa. Pedimos às organizações que não as ponham nos tickets sem as suas próprias garantias.
Não há decisões automáticas com efeitos para ti. As funções de inteligência artificial só fazem sugestões, e quem decide é sempre uma pessoa.
3. Quanto tempo guardamos
| Dados | Durante quanto tempo |
|---|---|
| Conta (nome, email, foto, preferências) | Enquanto a conta existir |
| Conteúdo das organizações (tickets, comentários, páginas, anexos) | Enquanto a organização existir; 30 dias depois do fim do contrato, para exportar, e depois é apagado |
| Histórico de entradas na conta | 12 meses |
| Notificações lidas | 6 meses |
| Notificações por ler | 12 meses |
| Registo de atividade da organização | 24 meses |
| Registos de erros (sem conteúdo) | 90 dias |
| Ficheiros de exportação | 7 dias |
| Prova de aceitação dos termos | Enquanto a conta existir e mais 5 anos |
| Pedidos RGPD e as respostas | 3 anos depois de fechados (prova do cumprimento) |
| Conta apagada | Fica só um registo vazio, sem nome nem email; o que escreveste nas organizações fica como «Antigo membro» |
A limpeza é automática, todos os dias.
4. Com quem partilhamos e transferências para fora da UE
Não vendemos nem cedemos dados. Usamos estes subcontratantes, cada um com contrato de tratamento de dados:
| Quem | Para quê | Onde ficam os dados | Garantia para fora da UE |
|---|---|---|---|
| Supabase Inc. | Base de dados, contas, ficheiros e tempo real | Irlanda (UE) | Contrato de tratamento com cláusulas contratuais-tipo (para acessos de suporte) |
| Vercel Inc. | Alojamento do site e das funções do servidor | Dublin (Irlanda, UE); rede de distribuição global | Contrato de tratamento; EU-US Data Privacy Framework ou cláusulas contratuais-tipo |
| Resend (Plus Five Five, Inc.) | Envio dos emails da aplicação | Estados Unidos | Cláusulas contratuais-tipo |
| Anthropic PBC | Funções de inteligência artificial, só quando a organização as usa | Estados Unidos | Cláusulas contratuais-tipo; os dados não são usados para treinar modelos |
| GitHub Inc. (Microsoft) | Ligação ao código, só quando a organização a liga (só leitura) | Estados Unidos | EU-US Data Privacy Framework e cláusulas contratuais-tipo |
| Cloudflare, Inc. (Turnstile) | Verificar que quem entra ou cria conta é uma pessoa (proteção contra ataques automáticos); trata o endereço de rede e dados técnicos do navegador | Rede mundial, incluindo os Estados Unidos | EU-US Data Privacy Framework e cláusulas contratuais-tipo |
Quando os dados saem da União Europeia, usamos as garantias do RGPD (art. 44.º a 49.º): a decisão de adequação EU-US Data Privacy Framework ou as cláusulas contratuais-tipo da Comissão Europeia. Avisamos as organizações 30 dias antes de juntarmos um subcontratante novo.
5. Os teus direitos
- Acesso e portabilidade (art. 15.º e 20.º): descarrega um ficheiro com todos os teus dados.
- Retificação (art. 16.º): corrige o teu perfil quando quiseres.
- Apagamento (art. 17.º): apaga a tua conta; tens 7 dias para mudar de ideias.
- Limitação (art. 18.º) e oposição (art. 21.º): faz um pedido e respondemos.
- Retirar o consentimento, quando o houver, a qualquer momento e sem afetar o que foi feito antes.
A maior parte faz-se com um botão em Perfil → Privacidade e RGPD; o resto por um pedido aí mesmo ou para [EMAIL DE PRIVACIDADE]. Respondemos em até 1 mês, sem custo (art. 12.º). Para o que escreveste numa organização, encaminhamos o pedido ao dono dessa organização.
6. Segurança
Ligações cifradas, dados separados por organização na própria base de dados, verificação em dois passos, palavras-passe verificadas contra fugas de dados conhecidas, cópias de segurança e registo de atividade (art. 32.º).
Se houver uma violação de dados que te ponha em risco, avisamos-te sem demora e avisamos a CNPD em 72 horas (art. 33.º e 34.º).
8. Idade mínima
O Bolas Planner é um serviço para profissionais. Para criar conta é preciso ter pelo menos 16 anos.
9. Contacto e queixas
Escreve para [EMAIL DE PRIVACIDADE]. Podes também apresentar queixa à Comissão Nacional de Proteção de Dados (CNPD), em www.cnpd.pt.
Se mudarmos esta política de forma importante, avisamos-te e pedimos que a aceites outra vez.