Política de Privacidade

O responsável pelo tratamento é Franclim Diogo, empresário em nome individual, que explora esta plataforma sob a marca KRIATI.

Para qualquer questão sobre privacidade, ou para exercer os seus direitos, escreva para privacidade@kriati.com.

Tratamos dados pessoais em dois papéis:

• Como responsável, para as contas de quem usa a KRIATI, o registo da aceitação desta política e a segurança da plataforma.
• Como subcontratante, para os dados que cada Cliente põe na plataforma: leads, clientes, contactos e utilizadores dos portais. Aqui quem decide é o Cliente, e é ele o responsável. O contrato que regula este papel (artigo 28.º do RGPD) ainda não existe. Até existir, tratamos estes dados apenas para prestar o serviço ao Cliente e segundo as suas instruções.

Dados da sua conta: nome, endereço de email, password (guardada só como hash), área de trabalho e papel, e a data de criação da conta. Não guardamos a data do último início de sessão das contas da plataforma. Só as contas dos portais guardam a data do último acesso (ver mais abaixo).

Aceitação desta política: quando cria conta, ou entra num portal pela primeira vez, guardamos a versão aceite, a data, o endereço IP e o navegador.

Tentativas de início de sessão: o endereço IP e o email, para limitar as tentativas a 5 em 10 minutos.

Dados que introduz na plataforma: clientes, contactos, leads, propostas, pagamentos, despesas, documentos, tarefas e conteúdo para redes sociais. Contêm muitas vezes dados de outras pessoas. Tratamo-los por conta do Cliente, só para lhe prestar o serviço.

Dados de integrações que autorize: se ligar contas Meta (Facebook e Instagram), LinkedIn ou Canva, guardamos os tokens de acesso cifrados e os dados que essas plataformas devolvem, por exemplo leads de formulários, métricas de campanhas e publicações. Pode desligar estas integrações a qualquer momento.

Dados técnicos: registos de erros e registos do alojamento, para manter o serviço a funcionar e investigar problemas.

Só recebemos dados da Meta (Facebook e Instagram) se um utilizador da KRIATI ligar a sua conta a um cliente e autorizar o acesso. É ele quem escolhe as Páginas, as contas Instagram profissionais e as contas de anúncios que ficam ligadas. Não recebemos o seu perfil pessoal: a ligação serve para gerir os ativos de negócio escolhidos.

Estas são as categorias de dados que recebemos e guardamos:

• o identificador do utilizador do Facebook que fez a ligação (um número próprio desta aplicação, que não dá acesso ao perfil);
• das Páginas do Facebook escolhidas: o identificador, o nome e a fotografia;
• das contas Instagram profissionais ligadas a essas Páginas: o identificador, o nome de utilizador e a fotografia;
• das contas de anúncios escolhidas: o identificador, o nome, a moeda e o fuso horário;
• das leads dos formulários (Lead Ads): o identificador, a data, o anúncio, o formulário e as respostas, que incluem o nome, email e telefone de quem preencheu e as perguntas do formulário, e ainda os nomes da campanha, do anúncio e do formulário;
• das campanhas: por dia, campanha, conjunto de anúncios e anúncio, o gasto, impressões, alcance, cliques, taxas de cliques e custos por clique e por mil impressões, e as leads;
• das publicações importadas das Páginas e contas Instagram: o texto ou a legenda, a imagem e a ligação, e ainda as métricas das publicações e o estado das publicações feitas a partir da KRIATI;
• os tokens de acesso (do utilizador e das Páginas), guardados cifrados (AES-256) e com a validade que a Meta lhes dá.

Para que os usamos: mostrar e tratar as leads na lista de Leads e avisar por email; mostrar o desempenho das campanhas na página de Performance e no portal do cliente; e publicar, importar e mostrar o estado das publicações no Planner. Não os vendemos e não os usamos para publicidade. Os dados das leads e as métricas das campanhas não são enviados às funcionalidades de inteligência artificial. Quando pede sugestões ao Planner, enviamos à OpenAI um excerto do texto das publicações (até 140 caracteres), incluindo as importadas da Meta, e os totais de alcance, impressões e interações dessas publicações.

Papéis: as leads, as métricas e as publicações são do Cliente (a empresa que usa a KRIATI), que é o responsável pelo tratamento; nós somos subcontratante e tratamo-los por conta dele. O identificador do utilizador do Facebook e os tokens são tratados por nós, como responsável, para manter a ligação.

Subcontratantes: estes dados ficam na Vercel (aplicação) e no Supabase (base de dados e ficheiros), e os avisos de leads por email passam pelos fornecedores de email (a Resend e um servidor SMTP). A lista completa está na secção «Com quem partilhamos e onde ficam os dados». A Meta é uma entidade independente e trata os seus dados nas suas condições.

Durante quanto tempo: os tokens ficam guardados enquanto a ligação existir e são apagados quando o utilizador desliga a Meta. Desligar não apaga as leads, as métricas nem as publicações já guardadas, porque pertencem ao Cliente: as leads mantêm-se até o Cliente as apagar (e quando uma lead é apagada de forma definitiva os dados pessoais são anonimizados). As métricas das campanhas e as publicações importadas ficam guardadas enquanto o Cliente mantiver a marca na plataforma, e são apagadas quando a marca ou a área de trabalho é apagada. Não há hoje um prazo de apagamento automático.

Como pedir a eliminação dos dados da Meta:

1. Na KRIATI, no Planner, na janela de ligação à Meta, carregue em «Desligar». Apagamos os tokens, as associações e as contas Meta dessa marca. Para retirar também a autorização da KRIATI na sua conta Facebook, siga o passo seguinte.
2. No Facebook, em Definições, Apps e websites, pode escolher KRIATI e carregar em Remover. A KRIATI deixa de poder usar essa autorização. Para ter a certeza de que os dados já guardados na KRIATI são apagados, desligue também na KRIATI (passo anterior) ou escreva-nos.
3. Para saber o estado de um pedido de eliminação, escreva-nos e indique o código de confirmação que a Meta lhe tenha dado, se o tiver.
4. Ou escreva para privacidade@kriati.com. Se o pedido for sobre uma lead concreta, o responsável é a agência ou empresa que usa a KRIATI, e é a ela que o pedido deve ser dirigido; se nos escrever, encaminhamos o pedido.

Para prestar e manter o serviço: autenticar o seu acesso, guardar e mostrar a informação que introduz, enviar os emails que o serviço implica (notificações de leads, pedidos de aprovação, convites e avisos) e proteger a plataforma.

Não vendemos dados pessoais, não os cedemos para marketing e não os usamos para publicidade.

Os dados da sua conta são tratados para executar o contrato de prestação do serviço (art. 6.º, n.º 1, al. b) do RGPD). A caixa que assinala no registo serve para provar que leu esta política. Não é a base legal dos dados da conta.

O registo dessa aceitação serve para provar o que foi aceite e quando, e assenta no nosso interesse legítimo em demonstrar que cumprimos o dever de informação e em defender os nossos direitos (al. f)).

As tentativas de início de sessão e os registos de erros assentam no interesse legítimo na segurança e no bom funcionamento do serviço (al. f)).

Quanto aos dados de terceiros que introduz na plataforma, é você o responsável e cabe-lhe ter fundamento legal para os tratar.

Algumas funcionalidades enviam texto à OpenAI, só quando as usa: análise de documentos, faturas e recibos verdes, redação de propostas, sugestões e análises do Planner, os assistentes comercial e operacional, a opinião estratégica do negócio e o Content Studio.

O que é enviado: o texto do documento a analisar (até 12 000 caracteres, que pode ter nomes, NIF e montantes), os dados da proposta que está a redigir, o texto que escreve e, na opinião estratégica, nomes de clientes, títulos e notas curtas (cortados a 80 e 140 caracteres), sem emails nem telefones. Pedimos à OpenAI que não guarde as respostas.

A OpenAI trata estes dados nos Estados Unidos (EUA). A transferência assenta no Quadro de Privacidade de Dados UE-EUA, para fornecedores certificados, ou nas cláusulas contratuais-tipo da Comissão Europeia. Pode pedir-nos os detalhes da garantia aplicável pelo contacto de privacidade.

Nenhuma decisão sobre pessoas é tomada de forma automática: a IA dá sugestões que o utilizador decide usar ou não.

Recorremos a estes fornecedores (subcontratantes):

• Vercel: alojamento da aplicação e tarefas agendadas. Todos os dados passam por aqui. As funções correm em Dublin (Irlanda), com rede de entrega global.
• Supabase: base de dados e armazenamento de ficheiros. Guarda todos os dados da plataforma, os ficheiros e as exportações, num centro de dados na Irlanda.
• Upstash: limites de pedidos e quotas. Recebe contadores e, nas tentativas de início de sessão, o IP e o email.
• A Resend e um servidor SMTP: envio de email. Recebem o destinatário e o conteúdo, incluindo os dados da lead nas notificações. A Resend trata os dados nos EUA.
• Sentry: registo de erros. Quando está ativo, recebe mensagens de erro e o contexto do pedido, sem os tokens dos links públicos, os cookies e o cabeçalho de autorização.
• OpenAI: inteligência artificial (ver a secção anterior). Trata os dados nos EUA.
• Cloudflare R2: cópia semanal de todos os ficheiros guardados na plataforma.
• Cloudflare Turnstile: verificação anti-robô no registo de conta, quando está ativa. Recebe o endereço IP e dados técnicos do navegador. A Cloudflare pode tratar dados fora do Espaço Económico Europeu.
• Hetzner: servidor da Evolution API, usada para o WhatsApp (ver abaixo).
• Apify: pesquisa de empresas para prospeção (Google Maps e pesquisa). Recebe os termos da pesquisa e devolve dados públicos de empresas e contactos.
• nif.pt: consulta de dados públicos de contribuintes. Recebe o NIF consultado.
• Magnific: geração de imagens no Content Studio, hoje usado só pela equipa KRIATI. Recebe o texto do pedido de imagem.

Quando não indicamos acima onde um fornecedor trata os dados, ele trata-os na sua própria infraestrutura. Pode pedir-nos os detalhes da localização e das garantias de transferência de qualquer fornecedor pelo contacto de privacidade.

Quando liga a sua conta à Meta (Facebook e Instagram), ao LinkedIn ou ao Canva, essas plataformas tratam os dados como entidades independentes, nas suas próprias condições. Não são subcontratantes da KRIATI.

Podemos comunicar dados a autoridades quando a lei o exija.

Alguns fornecedores tratam dados nos Estados Unidos, entre eles a OpenAI (inteligência artificial) e a Resend (email). A Cloudflare (Turnstile) também pode tratar dados fora do Espaço Económico Europeu. Estas transferências assentam no Quadro de Privacidade de Dados UE-EUA, para fornecedores certificados, ou nas cláusulas contratuais-tipo da Comissão Europeia. Pode pedir a lista completa, a localização dos dados de cada fornecedor e uma cópia das garantias pelo contacto de privacidade.

A KRIATI pode enviar mensagens por WhatsApp através da Evolution API, um canal não oficial (não é a API oficial do WhatsApp), instalado num servidor da KRIATI. Está desligado por omissão e só funciona se o utilizador o ativar:

• para enviar pedidos de aprovação de publicações aos contactos do cliente, quando a área de trabalho ativa as notificações por WhatsApp;
• para enviar a primeira mensagem às leads novas de um cliente, com a ligação WhatsApp desse cliente, depois de o utilizador declarar que os formulários informam que o contacto pode ser feito por WhatsApp.

O servidor recebe o número de telefone e o texto da mensagem. As mensagens passam também pelo WhatsApp (Meta).

Usamos apenas cookies estritamente necessários:

• sessão da plataforma (cookies do NextAuth): manter o início de sessão, 8 horas;
• portal_session: sessão dos portais do cliente, 24 horas;
• meta_oauth_*, linkedin_oauth_* e canva_oauth_*: concluir com segurança a ligação a uma rede social, enquanto a ligação decorre;
• auryn_demo_mode: modo de demonstração, 8 horas.

A plataforma guarda também no seu navegador preferências de apresentação e os relatórios da opinião estratégica. Esses relatórios ficam no navegador, por isso quem usar a KRIATI no mesmo navegador pode vê-los: não use a KRIATI num navegador partilhado. Não usamos cookies nem ferramentas de publicidade ou de estatística.

• Dados da conta: enquanto a conta existir. Ainda não há apagamento automático de contas nem de áreas de trabalho: o apagamento é pedido por email e feito à mão.
• Dados que o Cliente põe na plataforma: enquanto o Cliente os mantiver. O Cliente pode apagar uma lead de forma definitiva: o nome, o email, o telefone, o WhatsApp e a mensagem são anonimizados, também nas cópias desses dados dentro da plataforma.
• Registos de aceitação desta política: não são apagados automaticamente.
• Sessão: 8 horas na plataforma e 24 horas nos portais.
• Tentativas de início de sessão: 10 minutos.
• Registos de erros: o prazo definido pelo plano do fornecedor de registo de erros. Pode pedir-nos o prazo em vigor pelo contacto de privacidade.
• Registos do alojamento: o prazo definido pelo plano do fornecedor de alojamento. Pode pedir-nos o prazo em vigor pelo contacto de privacidade.
• Ficheiros de exportação: o link de descarga vale 72 horas. O ficheiro ainda não é apagado automaticamente: apagamo-lo a pedido, pelo contacto de privacidade.
• Cópias de segurança: a cópia semanal dos ficheiros no Cloudflare R2 nunca apaga. Um ficheiro apagado na plataforma continua na cópia até o apagarmos à mão, o que pode pedir pelo contacto de privacidade.

Ao abrigo do RGPD, tem direito a:

• Aceder aos dados pessoais que tratamos a seu respeito;
• Pedir a retificação de dados incorretos ou incompletos;
• Pedir o apagamento dos seus dados;
• Pedir a limitação do tratamento, ou opor-se a ele;
• Receber os seus dados num formato de uso corrente (portabilidade);
• Retirar o consentimento, quando ele for a base do tratamento, sem afetar o tratamento anterior.

Para exercer qualquer destes direitos, escreva para privacidade@kriati.com. A plataforma ainda não tem botões para exportar ou apagar a conta: os pedidos são tratados à mão. A exportação dos dados de uma área de trabalho é preparada pela equipa KRIATI, num ficheiro ZIP.

Se pediu a eliminação dos seus dados através da Meta (Facebook), a Meta indica-lhe um código de confirmação e um endereço na página /privacidade/eliminacao, onde pode ver o estado do pedido. Os passos para pedir essa eliminação estão na secção «Dados que recebemos da Meta».

Respondemos no prazo de um mês, prorrogável nos termos do artigo 12.º do RGPD. Pode também reclamar à Comissão Nacional de Proteção de Dados (CNPD), www.cnpd.pt.

Se uma agência ou um profissional que usa a KRIATI tem os seus dados, é essa entidade a responsável pelo tratamento, e é a ela que deve dirigir os seus pedidos. Se nos escrever, encaminhamos o pedido para essa entidade.

Se usa um portal de cliente disponibilizado por uma agência, a sua conta no portal (email, password guardada só como hash, data do último acesso) é tratada por nós por conta dessa agência, que é a responsável pelo tratamento. Os pedidos sobre estes dados devem ser dirigidos à agência; se nos escrever, encaminhamos o pedido.

As passwords são guardadas só como hash, os tokens das integrações são cifrados, os dados são isolados por área de trabalho, as tentativas de início de sessão são limitadas e as sessões são curtas. As ligações são feitas só por HTTPS, com HSTS. A base de dados e os ficheiros são cifrados em repouso pelo fornecedor.

Nenhum sistema é totalmente imune a incidentes. Se ocorrer uma violação de dados com risco para os seus direitos, avisamos nos termos da lei.

A data no topo indica a versão em vigor. Cada aceitação fica registada com a versão aceite. Se fizermos alterações relevantes, avisamos com antecedência.