Política de Privacidade

Esta Política aplica-se aos dados pessoais de que a Nevergetold, Lda. é responsável pelo tratamento (controller), nomeadamente:

os dados da conta e do titular da conta de cada organização cliente ("Tenant") que subscreve o ModuHelp;

os dados de faturação e utilização relativos à relação contratual entre nós e o Tenant;

os dados de visitantes do nosso site institucional e das páginas de marketing.

Esta Política NÃO cobre os dados pessoais dos Clientes Finais que contactam o Tenant através do serviço (por exemplo, o nome, o email, o conteúdo das mensagens e os anexos de quem pede apoio). Relativamente a esses dados, o Tenant é o responsável pelo tratamento (controller) e a Nevergetold, Lda. atua como subcontratante (processor), tratando-os exclusivamente por conta e segundo instruções do Tenant. O enquadramento desse tratamento consta do Acordo de Tratamento de Dados ("DPA") celebrado com cada Tenant, disponível em https://moduhelp.com/dpa, e não desta Política.

Se contactou uma empresa que utiliza o ModuHelp e pretende exercer direitos sobre os seus dados, deve dirigir-se diretamente a essa empresa (o Tenant), que é quem decide sobre esses dados. Ver também a Secção 5.

No âmbito do nosso papel de responsável pelo tratamento, recolhemos e tratamos as seguintes categorias de dados:

Dados da conta e do titular: nome, endereço de email, palavra-passe (armazenada apenas sob a forma de hash criptográfico irreversível), cargo/função, preferência de idioma, e dados da organização Tenant (denominação, NIF, morada, setor de atividade).

Dados de faturação: dados necessários à faturação da subscrição ao Tenant (identificação fiscal, histórico de faturas, estado dos pagamentos da subscrição), processados com apoio do Stripe e de software de faturação certificado. Os dados completos do meio de pagamento são tratados pelo prestador de pagamentos; conservamos apenas o tipo de meio de pagamento e os últimos quatro dígitos, para identificação.

Dados técnicos e registos (logs): endereço IP, identificadores de sessão, tipo de navegador e dispositivo, registos de autenticação e de atividade, registos de erros, para efeitos de segurança, deteção de abuso e diagnóstico técnico.

Comunicações de suporte: conteúdo de pedidos de apoio que nos dirija e registos de interações de suporte.

Dados de visitantes do site: informação recolhida através de formulários de contacto ou de pedido de demonstração.

Não recolhemos, no âmbito desta Política, dados sensíveis (categorias especiais de dados nos termos do artigo 9.º do RGPD).

Finalidade: Criação e gestão da conta do Tenant e prestação do serviço ModuHelp. Base de licitude: Execução de contrato (art. 6.º/1/b).

Finalidade: Faturação da subscrição e cumprimento de obrigações fiscais e contabilísticas. Base de licitude: Obrigação legal (art. 6.º/1/c).

Finalidade: Segurança da plataforma, deteção e prevenção de fraude e abuso, limitação de tráfego e verificação anti-robô (Cloudflare Turnstile), utilizada no registo, no widget incorporável e na página partilhável de contacto. Base de licitude: Interesse legítimo (art. 6.º/1/f). A verificação anti-robô é efetuada em todas estas superfícies por nossa iniciativa e sob a nossa responsabilidade, na qualidade de responsáveis pelo tratamento: somos nós que determinamos a sua utilização, o fornecedor e a configuração, e ela protege também a nossa própria infraestrutura. Quando incide sobre Clientes Finais, tal não altera a qualificação do conteúdo das mensagens, que continua a ser tratado por conta do Tenant, na qualidade de subcontratante, nos termos da Secção 5 e do DPA.

Finalidade: Diagnóstico técnico, manutenção e melhoria do serviço. Base de licitude: Interesse legítimo (art. 6.º/1/f).

Finalidade: Resposta a pedidos de suporte e comunicações operacionais sobre a conta. Base de licitude: Execução de contrato / interesse legítimo.

Finalidade: Comunicações de marketing. Base de licitude: Consentimento (art. 6.º/1/a), apenas quando o titular opte por as receber; pode retirar o consentimento a qualquer momento.

As Funcionalidades de IA são descritas na Secção 10. Não recorremos a decisões exclusivamente automatizadas com efeitos jurídicos ou impacto significativo sobre os titulares, ver Secção 13.

Relativamente aos dados pessoais dos Clientes Finais tratados através do ModuHelp (o conteúdo dos tickets, mensagens, anexos e a base de conhecimento do Tenant), a Nevergetold, Lda. atua exclusivamente como subcontratante (processor), tratando esses dados apenas de acordo com as instruções documentadas do Tenant, para as finalidades por este definidas.

As condições desse tratamento, incluindo medidas técnicas e organizativas de segurança, subcontratantes ulteriores autorizados, prazos de conservação, procedimentos de resposta a pedidos de titulares e de notificação de violações de dados, encontram-se definidas no DPA celebrado com cada Tenant, nos termos do artigo 28.º do RGPD. Em caso de dúvida sobre o tratamento dos seus dados, consulte o Tenant que contactou.

Para prestar o serviço, recorremos aos seguintes subcontratantes e prestadores de serviços, aos quais podem ser transmitidos dados pessoais na medida do estritamente necessário:

DigitalOcean: Alojamento e infraestrutura da aplicação. Localização: União Europeia (Frankfurt, Alemanha).

Supabase: Base de dados PostgreSQL e pesquisa vetorial. Localização: União Europeia (Frankfurt).

Upstash: Cache e filas de processamento. Localização: União Europeia (região primária e réplicas apenas na UE).

Cloudflare: Armazenamento de anexos (R2, com jurisdição de dados da UE), DNS, TLS, CDN e verificação anti-robô (Turnstile, no registo, no widget incorporável e na página partilhável de contacto). Localização: União Europeia / global.

Postmark: Envio e receção de correio eletrónico. Localização: Localização principal na UE, podendo existir acesso ou transferências internacionais com mecanismo de transferência válido.

Mistral AI: Modelos de inteligência artificial (classificação e redação de respostas). Localização: União Europeia (França).

Sentry: Monitorização de erros. Localização: União Europeia (Frankfurt).

Stripe: Processamento de pagamentos da subscrição. Localização: União Europeia e EUA, com mecanismo de transferência aplicável.

Esta lista é mantida atualizada. Podemos também partilhar dados com autoridades públicas quando exigido por lei. Não vendemos dados pessoais a terceiros nem os utilizamos para publicidade comportamental de terceiros.

A localização principal da nossa infraestrutura situa-se na União Europeia: a aplicação e a base de dados em região da UE (Frankfurt), a cache apenas em regiões da UE, os ficheiros no Cloudflare R2 com jurisdição de dados da UE e a monitorização de erros (Sentry), quando ativada, em Frankfurt. O fornecedor de IA (Mistral AI) trata os dados na União Europeia (França).

Esta localização principal na UE não exclui, por si só, acesso remoto, suporte, encaminhamento de rede ou transferências pontuais por fornecedores situados fora do Espaço Económico Europeu (EEE). Em particular, o serviço de email transacional (Postmark) prevê, nas suas condições, a possibilidade de acesso ou transferências internacionais, pelo que a sua localização não é apresentada como residência exclusivamente europeia. Nesses casos, asseguramos garantias adequadas nos termos dos artigos 44.º a 49.º do RGPD, designadamente uma decisão de adequação da Comissão Europeia ou Cláusulas Contratuais-Tipo (CCT), acompanhadas das medidas suplementares necessárias.

Sem prejuízo de prazos superiores exigidos por lei:

Dados de faturação e documentos fiscais: durante o prazo legal de conservação em Portugal, atualmente de 10 anos.

Dados da conta e conteúdos: enquanto a conta estiver ativa. Após o pedido de eliminação do espaço de trabalho, aplicamos um período de tolerância de 30 (trinta) dias, findo o qual os dados são eliminados de forma permanente, incluindo das cópias de segurança dentro dos respetivos ciclos de rotação, salvo obrigação legal de conservação.

Registos técnicos e logs de segurança: por um período limitado adequado às finalidades de segurança e diagnóstico, findo o qual são apagados ou anonimizados.

Comunicações de suporte: pelo tempo necessário para resolver o pedido e para histórico de apoio.

Relativamente aos dados de que somos responsáveis pelo tratamento, pode exercer, nos termos do RGPD, os direitos de: acesso; retificação; apagamento ("direito a ser esquecido"), quando aplicável; limitação do tratamento; portabilidade; oposição ao tratamento baseado em interesse legítimo ou para marketing direto; e retirar o consentimento a qualquer momento, sem afetar a licitude do tratamento anterior.

Para exercer estes direitos, contacte-nos através de hello@modulardigital.pt. Responderemos no prazo legal aplicável. Note-se que determinados dados não podem ser apagados enquanto subsistir uma obrigação legal de conservação (por exemplo, dados de faturação).

Tem ainda o direito de apresentar reclamação junto da autoridade de controlo portuguesa: Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, através de www.cnpd.pt.

Nota importante: se os seus dados foram tratados por termos contactado uma empresa que utiliza o ModuHelp, os pedidos relativos a esses dados devem ser dirigidos a essa empresa (o Tenant), que é o responsável pelo tratamento, ver Secções 2 e 5.

10.1. O serviço utiliza modelos de linguagem para classificar pedidos e redigir propostas de resposta e, quando o Tenant o ative, para enviar respostas automaticamente. Para o efeito, o conteúdo relevante é transmitido ao nosso fornecedor de IA, a Mistral AI, sediada na União Europeia (França).

10.2. Não utilizamos os conteúdos dos Tenants para treinar modelos de inteligência artificial. O tratamento efetuado pela Mistral AI, enquanto fornecedor de IA, rege-se pelos seus próprios termos e política de dados, designadamente o Adendo de Tratamento de Dados (https://legal.mistral.ai/terms/data-processing-addendum) e a Política de Privacidade (https://legal.mistral.ai/terms/privacy-policy), que recomendamos consultar. Segundo esses termos, os dados enviados através da API não são utilizados para treino de modelos, sendo aplicada moderação automática para prevenção de abuso, salvo quando esteja ativada a opção de retenção zero de dados.

10.3. As Funcionalidades de IA não tomam decisões exclusivamente automatizadas que produzam efeitos jurídicos ou afetem significativamente os titulares dos dados, na aceção do artigo 22.º do RGPD. O envio de respostas por IA está sob controlo do Tenant, que pode exigir aprovação humana e desativar o envio automático a todo o tempo.

11.1. A aplicação utiliza apenas cookies estritamente necessários: um cookie de sessão (cifrado) indispensável para manter a autenticação e um cookie de preferência de idioma. Utilizamos ainda o mecanismo anti-robô Cloudflare Turnstile, por motivos de segurança, no registo, no widget incorporável e na página partilhável de contacto, sendo utilizado em modo invisível no widget incorporável. O Turnstile é fornecido pela Cloudflare, Inc. e recolhe sinais do lado do cliente estritamente necessários à deteção e bloqueio de robôs, designadamente o endereço IP, o User-Agent, a impressão digital TLS e a chave do sítio, nos termos do Adendo de Privacidade do Turnstile (https://www.cloudflare.com/turnstile-privacy-policy/), que recomendamos consultar. Estes cookies e a informação técnica associada à verificação anti-robô não requerem consentimento prévio nos termos da Lei n.º 58/2019 e da Diretiva ePrivacy, por serem estritamente necessários à prestação do serviço expressamente solicitado pelo utilizador, incluindo, no widget incorporável e na página partilhável de contacto, o envio da mensagem de suporte que o próprio utilizador inicia.

11.2. O widget incorporável e a página partilhável de contacto não utilizam cookies de análise, publicidade ou perfilização nem acompanham os visitantes entre sítios. Cada carregamento solicita um token de curta duração, associado àquela página e àquele momento, que expira e não pode ser reutilizado depois de o visitante sair. A verificação anti-robô referida em 11.1 pode implicar o armazenamento, no navegador do visitante, de informação técnica estritamente necessária a essa verificação.

11.3. Não utilizamos, à data desta Política, cookies de análise, publicidade ou perfilização de terceiros. Caso venhamos a introduzir cookies não essenciais, solicitaremos o consentimento prévio através de um mecanismo adequado e atualizaremos esta Política.

12.1. Adotamos medidas técnicas e organizativas adequadas ao risco, incluindo, entre outras: cifragem de credenciais e de dados em trânsito, controlo de acessos baseado em funções, segregação de dados por Tenant, e registo e monitorização de atividade. Nenhum sistema é totalmente imune a incidentes; caso ocorra uma violação de dados pessoais de que somos responsáveis, notificaremos a CNPD e os titulares afetados nos casos e prazos exigidos pelo RGPD, no prazo mais curto possível.

13.1. Utilizamos verificações automáticas de segurança e deteção de abuso e Funcionalidades de IA para redação de respostas. Estas não produzem decisões exclusivamente automatizadas com efeitos jurídicos ou impacto significativo semelhante sobre os titulares, na aceção do artigo 22.º do RGPD. Qualquer medida com impacto relevante sobre uma conta, e o envio de respostas geradas por IA, admitem intervenção e controlo humanos.

14.1. Podemos atualizar esta Política para refletir alterações no serviço, nos subcontratantes ou na legislação aplicável. A data da última atualização é indicada no topo. Em caso de alterações materiais, procuraremos informar os Tenants por email ou através de aviso na plataforma.

Em caso de conflito entre a versão portuguesa e qualquer tradução, prevalece a versão em língua portuguesa.