Registo de tratamentos
Versão 1
⚠️ Rascunho para revisão jurídica. Os campos assinalados têm de ser preenchidos antes de haver clientes pagantes.
O RGPD (art. 30.º) pede a quem trata dados que tenha esta lista e a mostre à CNPD se ela pedir. Publicamo-la para toda a gente.
1. Como responsável pelo tratamento
Responsável: [NOME DA EMPRESA], NIF [NIF], [MORADA]. Contacto de privacidade: [EMAIL DE PRIVACIDADE].
| Tratamento | Pessoas | Dados | Base legal (art. 6.º) | Prazo |
|---|---|---|---|---|
| Contas | Utilizadores | Nome, email, palavra-passe protegida, foto, preferências | Execução do contrato | Enquanto a conta existir |
| Segurança das contas | Utilizadores | 2FA, entradas, dispositivo e rede (só em resumo) | Interesse legítimo (segurança) | 12 meses |
| Emails de serviço e de segurança | Utilizadores | Email, nome | Execução do contrato · interesse legítimo | Registo do envio: 6 meses |
| Aceitação dos termos | Utilizadores | Quem, que versão, quando | Obrigação legal · interesse legítimo | Enquanto a conta existir e mais 5 anos |
| Pedidos RGPD | Quem faz o pedido | O pedido e as respostas | Obrigação legal (art. 12.º) | 3 anos depois de fechados |
| Registos de erros | Utilizadores | Onde falhou, código, conta, organização e navegador (sem conteúdo) | Interesse legítimo | 90 dias (o que vem do navegador, 7 dias) |
2. Como subcontratante (por conta das organizações clientes)
| Tratamento | Dados | Instruções | Prazo |
|---|---|---|---|
| Gestão de projetos | Tickets, comentários, páginas, anexos, horas, registo de atividade | Contrato de tratamento de dados (DPA) | Enquanto a organização existir; 30 dias depois do fim do contrato |
| Funções de IA (se a organização as usar) | O texto de cada pedido à IA | DPA | Não é guardado pelo fornecedor para treino |
| Ligação ao GitHub (se ligada) | Commits, ramos e pull requests ligados a tickets | DPA | Enquanto estiver ligada |
| Emails de avisos | Nome e email de quem recebe, o título do ticket | DPA | Registo do envio: 6 meses |
3. Onde estão os dados e transferências
Base de dados e ficheiros na Irlanda (UE); servidores da aplicação em Dublin (UE). Saem da UE, com as garantias do RGPD (art. 44.º a 49.º), os emails, a IA e o GitHub. A lista completa, com as garantias, está em «Subcontratantes».
4. Medidas de segurança (art. 32.º)
- Ligações e discos cifrados.
- Separação entre organizações na própria base de dados, com testes automáticos.
- Verificação em dois passos, que cada organização pode tornar obrigatória.
- Palavras-passe verificadas contra fugas de dados conhecidas; limites de pedidos e CAPTCHA.
- Registo de atividade; cópias de segurança; revisão de segurança independente de cada versão.