Política de privacidade

1. Introdução

A OficinaIA trata os seus dados pessoais de acordo com o Regulamento (UE) 2016/679 ("RGPD") e a Lei n.º 58/2019. Esta política explica que dados recolhemos, para quê, com quem os partilhamos e como os protegemos quando visita o website ou utiliza a plataforma.

A OficinaIA é um nome comercial. O responsável pelo tratamento é João Coucelo. Contacto: joaocoucelo@oficina-ia.com

2. Base legal

Tratamos dados pessoais ao abrigo das seguintes bases legais do RGPD:

• Execução de contrato (art. 6.º/1/b), criar a conta, prestar a plataforma, o Assistente, as automações e as integrações que o Utilizador decide ligar, gerir a subscrição e o apoio ao Utilizador.
• Interesse legítimo (art. 6.º/1/f), segurança e prevenção de fraude, registos de auditoria, e melhoria do produto com dados agregados e anonimizados.
• Consentimento (art. 6.º/1/a), marketing e newsletter e cookies não essenciais.
• Obrigação legal (art. 6.º/1/c), cumprimento de obrigações fiscais, contabilísticas e de resposta a autoridades competentes.

O ecrã de autorização da Google ou da Microsoft permite a ligação técnica da conta. Não determina, por si só, a base legal para tratar os dados de clientes, trabalhadores ou outros contactos presentes no email e na agenda. Nos clientes empresariais, essa decisão pertence à organização responsável pelo tratamento.

3. Dados que recolhemos

3.1 Conta e organização

Nome, email, palavra-passe (armazenada com hash bcrypt), cargo, nome da empresa, NIF (quando indicado) e preferências de idioma e notificações.

3.2 Conteúdo submetido ao Serviço

Mensagens trocadas com o Assistente, ficheiros carregados (faturas, SAF-T, extratos e documentos), dados tratados pelas automações e outros conteúdos que opte por partilhar. Estes dados são enviados ao fornecedor de inferência indicado em §6 quando a tarefa exige processamento por um modelo de IA.

3.3 Integrações que autoriza

Quando liga expressamente Gmail, Google Calendar, Outlook ou Microsoft Calendar, a autorização é feita diretamente junto da Google ou da Microsoft. Guardamos os tokens OAuth cifrados e separados por Utilizador e organização. Para outras integrações opcionais podemos recorrer à Composio. Em qualquer caso, acedemos apenas aos dados abrangidos pelos scopes autorizados e pode revogar a ligação a qualquer momento.

3.4 Codex, Claude e outros clientes MCP

Se ligar um cliente externo à OficinaIA através de MCP, esse cliente pode consultar a estrutura e os dados permitidos pela sua conta. As listagens de email devolvem apenas metadados mínimos. O corpo de uma mensagem só é devolvido quando pede essa mensagem concreta e um administrador da organização autorizou conteúdo de email via MCP. Depois de a informação ser entregue ao cliente externo, o tratamento feito por esse cliente e pelo respetivo fornecedor de IA fica também sujeito à configuração, contrato e política desse fornecedor. A organização pode manter esta passagem bloqueada.

3.5 Dados recolhidos automaticamente

Endereço IP, navegador e dispositivo, dados de utilização (acessos, ações e latências), páginas visitadas, cookies, origem de referência e registos técnicos necessários para segurança, suporte e auditoria.

3.6 Fontes externas

Dados de contacto empresarial de fontes públicas ou de prestadores de prospeção (Apollo.io), quando ativa essa funcionalidade.

4. Para que usamos os dados

• prestar a plataforma e executar as tarefas que pede ao Assistente ou às automações;
• autenticar o Utilizador e gerir contas, organizações e subscrições;
• garantir a segurança e prevenir fraude, abuso e violações dos Termos;
• manter os registos e prestar a informação exigidos pela legislação aplicável;
• comunicar sobre o serviço (informação operacional, atualizações, alterações a estes termos);
• enviar marketing e newsletter, quando tiver consentido, com cancelamento a qualquer momento;
• melhorar o produto com métricas agregadas e anonimizadas. Não treinamos modelos de IA com o Conteúdo do Utilizador.

5. Cookies

Usamos cookies e tecnologias semelhantes para funcionalidade, preferências e análise, nas categorias estritamente necessários, desempenho, funcional e marketing (quando aplicável). Pode geri-los no navegador ou no gestor de consentimento.

6. Subprocessadores

Recorremos aos prestadores indicados abaixo para fornecer partes do Serviço. A proteção dos dados e as transferências internacionais ficam sujeitas aos termos e mecanismos aplicáveis a cada prestador. Não vendemos dados pessoais.

6.1 Inferência de IA

• Fireworks.ai, Inc. (EUA), serve os modelos de linguagem da plataforma, processando mensagens, imagens, ficheiros e conteúdos usados na pesquisa do Conhecimento. Opera em regime de retenção zero de dados (Zero Data Retention): os conteúdos enviados para inferência são processados de forma efémera, não são conservados após o processamento nem utilizados para treinar modelos.

6.2 Infraestrutura

• Railway Corporation (EUA), alojamento do backend e do serviço que executa o Assistente e as automações.
• Netlify, Inc. (EUA), alojamento do frontend e rede de entrega de conteúdos.
• Supabase, Inc., base de dados PostgreSQL e armazenamento de ficheiros, configurados numa região europeia.

6.3 Comunicações

• Plus Five Five, Inc. (Resend) (EUA), envio de emails operacionais, convites, recuperação de acesso e comunicações pedidas pelo Utilizador.

6.4 Integrações e funcionalidades opcionais

• Google LLC e Microsoft Corporation, fornecem o correio e calendário que liga diretamente à OficinaIA. A OficinaIA usa as respetivas APIs apenas com os scopes concedidos por si.
• Composio Inc. (EUA), gere autorizações e chamadas de integrações opcionais que não usam os conectores diretos da OficinaIA, como Google Drive, Slack, Notion e outras disponíveis no catálogo.
• Hyperdoc Inc. (Recall.ai) (EUA), ligação a reuniões e recolha de gravações ou transcrições quando esta funcionalidade é ativada.
• Deepgram, Inc. (EUA), transcrição de áudio quando utiliza funcionalidades de voz.

6.5 Clientes de IA ligados pelo cliente

Codex, Claude Code e outros clientes MCP não são escolhidos nem contratados pela OficinaIA em nome da organização. Quando a organização decide ligá-los, deve avaliar o fornecedor, a localização do tratamento, a retenção, a utilização para treino e as condições aplicáveis à sua própria conta. A OficinaIA permite bloquear tecnicamente a entrega de corpos de email através do MCP.

6.6 Website e atividade comercial

• Beehiiv, gestão das subscrições e envio da newsletter. Recebe o email usado na subscrição.
• Cal.com, marcação de reuniões comerciais. Recebe os dados que fornece ao escolher uma data.
• Google Tag Manager, gestão das ferramentas de medição e marketing do website. As preferências guardadas no gestor de consentimento determinam as utilizações autorizadas.

A lista pode ser atualizada com aviso razoável. Para a versão consolidada, contacte-nos pelo endereço em §1.

7. Transferências internacionais

Alguns subprocessadores indicados no §6 estão sedeados nos EUA, pelo que dados pessoais podem ser transferidos para fora do Espaço Económico Europeu (EEE).

O mecanismo aplicável depende do prestador e da transferência. Pode incluir uma decisão de adequação da Comissão Europeia ou garantias contratuais, como as Cláusulas Contratuais-Tipo. Pode contactar-nos para saber qual o mecanismo aplicável a um prestador concreto e como obter informação sobre essas garantias.

Os dados enviados para processamento por modelos de IA podem ser tratados nos EUA pela Fireworks AI, em regime de retenção zero. Evite submeter informação que não seja necessária para a tarefa e retire dados particularmente sensíveis sempre que isso seja possível.

8. Conservação

• Dados da conta, enquanto a conta estiver ativa e, após o encerramento, durante o período necessário para cumprir obrigações legais ou tratar questões pendentes.
• Mensagens e ficheiros submetidos ao Serviço, durante o período necessário para prestar o Serviço e cumprir as obrigações aplicáveis.
• Registos de auditoria e segurança, em regra, 90 dias para atividade técnica, até 2 anos para registos comerciais e até 7 anos para registos financeiros.
• Contactos de marketing, até cancelar ou retirar o consentimento.
• Faturação e contabilidade, pelo prazo legal aplicável (em regra, 10 anos para documentos fiscais em Portugal).

9. Os seus direitos

Ao abrigo do RGPD, pode exercer os direitos de:

• acesso aos seus dados;
• retificação de dados inexatos ou incompletos;
• apagamento ("direito a ser esquecido");
• limitação do tratamento;
• portabilidade, em formato estruturado;
• oposição ao tratamento baseado em interesse legítimo;
• retirada do consentimento, sem efeito retroativo;
• não ser sujeito a decisões exclusivamente automatizadas com efeito significativo (art. 22.º).

Para exercer estes direitos, escreva para joaocoucelo@oficina-ia.com, com elementos que permitam confirmar a sua identidade. Respondemos, em regra, no prazo de um mês, sem prejuízo das extensões permitidas por lei.

10. Clientes empresariais e dados de terceiros

Quando o Utilizador é uma organização (por exemplo, uma PME) e submete ao Serviço dados pessoais de terceiros (clientes, fornecedores ou colaboradores), essa organização é a responsável pelo tratamento (controller) desses dados e a OficinaIA atua como subcontratante (processor). As condições desse tratamento constam do §8.1 dos Termos e Condições. A organização deve assegurar uma base legal própria e informar os titulares.

11. Segurança

Aplicamos medidas técnicas e organizativas, incluindo encriptação e controlos de acesso. Saiba mais na página Segurança.

12. Menores

Os Serviços não se destinam a menores de 16 anos e não recolhemos conscientemente os seus dados.

13. Marketing e cancelamento

Só enviamos marketing com consentimento ou quando legalmente permitido, e cada email inclui a opção de cancelar. Pode também escrever para joaocoucelo@oficina-ia.com para deixar de receber comunicações.

14. Alterações

Podemos atualizar esta política. Alterações relevantes serão comunicadas por email ou por aviso destacado no website, e a data de "Última atualização" será revista.

15. Autoridade de controlo e contacto

Pode apresentar reclamação junto da autoridade de proteção de dados da sua residência; em Portugal, a Comissão Nacional de Proteção de Dados (cnpd.pt). Para qualquer questão de privacidade, contacte joaocoucelo@oficina-ia.com.