Política de privacidade

1. Quem é o responsável pelo tratamento

Mind Forge Tech Solutions, Lda., NIPC 515747769, com sede em Rua dos Bombeiros Voluntários, Edifício Nova Paredes, Loja 27, 4580-053 Paredes.
Contacto para assuntos de privacidade e proteção de dados: privacidade@assedius.pt.

2. Que dados tratamos

• Dados de conta (se criares conta): nome ou pseudónimo, email, palavra-passe (guardada só como hash), perfil e preferências de notificação.
• Comunicações de situações («casos»): o título e o relato do que aconteceu, a categoria, datas e acontecimentos, região (distrito), testemunhas, impactos e, se escolheres o modo confidencial ou identificado, os teus dados de contacto. No modo anónimo não guardamos dados de contacto, mesmo que os tenhas escrito no formulário.
• Diário de ocorrências e provas: registos que fazes no teu diário e ficheiros que carregas (mensagens, imagens, documentos, áudio), com a respetiva impressão digital SHA-256.
• Conversas com o assistente Assedius AI e respostas à avaliação de risco.
• Contactos de empresas: nome, email, empresa, dimensão e mensagem enviados pela página «Para empresas».
• Dados técnicos e de segurança: registos de acesso e de ações (auditoria), com o endereço IP guardado apenas como hash com sal, e os cookies estritamente necessários descritos na política de cookies.

Pela natureza do serviço, o que descreves pode incluir categorias especiais de dados (por exemplo, saúde, vida sexual ou orientação sexual, origem étnica, convicções religiosas) e dados relativos a possíveis infrações, teus ou de terceiros. Pedimos-te que partilhes só o que for necessário e que evites identificar terceiros para além do indispensável.

3. Para que usamos os dados e com que fundamento

• Prestar o serviço que pedes (conta, diário, organizador de provas, relatórios em PDF, receção e acompanhamento de casos, mensagens com a equipa): execução do contrato e de diligências a teu pedido (art. 6.º, n.º 1, alínea b) do RGPD).
• Tratar dados sensíveis que incluas no relato, no diário, nas provas ou nas conversas: o teu consentimento explícito (art. 9.º, n.º 2, alínea a) do RGPD), que dás ao submeter cada comunicação e que podes retirar a qualquer momento, sem afetar o tratamento já feito. Quando um tratamento for necessário para declarar, exercer ou defender um direito num processo, aplica-se também o art. 9.º, n.º 2, alínea f).
• Segurança, prevenção de abusos e registo de acessos (auditoria): interesse legítimo em proteger a plataforma e os dados das pessoas que a usam (art. 6.º, n.º 1, alínea f)).
• Responder a empresas que nos contactam: diligências pré-contratuais a pedido do interessado (art. 6.º, n.º 1, alínea b)).
• Observatório: publicamos apenas estatísticas agregadas e anonimizadas (contagens por categoria, mês e distrito). Qualquer valor inferior a 10 casos é suprimido para impedir a reidentificação. Nunca publicamos nomes, entidades, textos ou datas exatas.
• Cumprir obrigações legais, incluindo responder a pedidos de autoridades competentes (art. 6.º, n.º 1, alínea c)).

Não usamos os teus dados para publicidade, não os vendemos e não criamos perfis comerciais. Não tomamos decisões exclusivamente automatizadas com efeitos jurídicos sobre ti: as sugestões do assistente e a avaliação de risco são orientativas e qualquer decisão sobre um caso é tomada por uma pessoa da equipa.

4. Quem tem acesso

• Equipa autorizada do Assedius, com perfis de acesso diferenciados: os analistas só veem os casos que lhes são atribuídos, e cada consulta de um caso ou descarga de uma prova fica registada.
• Prestador de alojamento dos servidores, que atua como subcontratante, com contrato nos termos do art. 28.º do RGPD.
• Fornecedor de inteligência artificial que alimenta o assistente: recebe apenas o texto da conversa depois de pseudonimizado (retiramos nomes, emails, telefones e outros identificadores diretos que consigamos detetar), sem a tua identidade nem dados de conta, e está contratualmente impedido de usar esses dados para treinar modelos (a confirmar nas condições do fornecedor).
• Autoridades e entidades a quem pedes encaminhamento: só com a tua decisão, ou quando a lei nos obrigue.

Não partilhamos o teu caso com a pessoa ou a entidade que descreves.

5. Transferências internacionais

O fornecedor de inteligência artificial pode tratar dados nos Estados Unidos da América. Nesse caso, a transferência é feita com base nas cláusulas contratuais-tipo aprovadas pela Comissão Europeia ou na adesão do fornecedor ao Quadro de Privacidade de Dados UE-EUA, com medidas adicionais (pseudonimização e minimização). (A confirmar: identificação do fornecedor e mecanismo de transferência em vigor.) Os restantes dados ficam alojados no Espaço Económico Europeu.

6. Durante quanto tempo guardamos os dados

• Casos encerrados: 5 anos após o encerramento, sendo depois apagados ou anonimizados.
• Contas inativas: apagadas ao fim de 3 anos sem acesso, depois de um aviso prévio por email.
• Diário e provas que não ligaste a nenhum caso: até os apagares ou apagares a conta.
• Conversas com o assistente: enquanto a conta existir, ou até as recomeçares; sem conta, só durante a sessão.
• Contactos de empresas: até 2 anos após o último contacto, salvo se se tornarem clientes.
• Registos de auditoria: pelo período necessário à segurança e à prova de acessos, no máximo enquanto o caso a que dizem respeito for conservado.

7. Os teus direitos

Podes, a qualquer momento e sem custos:

• aceder aos teus dados e obter uma cópia (em My Assedius tens a opção Exportar os meus dados);
• retificar dados incorretos ou incompletos;
• pedir o apagamento (em My Assedius podes apagar a conta);
• limitar ou opor-te a tratamentos baseados em interesse legítimo;
• pedir a portabilidade dos dados que nos deste;
• retirar o consentimento, sem afetar a licitude do tratamento anterior.

Para exercer estes direitos escreve para privacidade@assedius.pt. Respondemos no prazo de um mês. Se o caso foi comunicado sem conta, indica a referência; para tua proteção, podemos pedir a palavra-passe de acompanhamento para confirmar que és tu.

Tens também o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa — www.cnpd.pt.

8. Como protegemos os dados

• Ligações sempre cifradas (HTTPS).
• Encriptação na base de dados dos relatos, títulos, detalhes, mensagens, registos do diário e nomes dos ficheiros; os ficheiros das provas ficam encriptados em disco.
• Palavras-passe guardadas apenas como hash; limitação de tentativas de entrada.
• Acesso da equipa por perfis, com o princípio do mínimo privilégio, e registo de todos os acessos a casos e provas.
• Endereços IP guardados apenas como hash com sal.
• Botão «Sair rápido» e páginas sem indexação nas áreas privadas.

Nenhum sistema é infalível. Se detetarmos uma violação de dados que possa pôr em risco os teus direitos, informamos-te e à CNPD nos prazos legais.

9. Menores

Para criar conta tens de ter pelo menos 13 anos (idade mínima prevista na lei portuguesa para o consentimento em serviços online). Se tens menos de 13 anos e estás em perigo, liga 112 ou para a linha SOS Criança — 116 111.

10. Alterações

Podemos atualizar esta política. A data da versão em vigor está no topo da página; alterações importantes são comunicadas na plataforma ou por email a quem tem conta.