Política de privacidade

1. Responsável pelo tratamento e contacto

O responsável pelo tratamento descrito nesta política é:

• QR-Verse
• Operado a partir da União Europeia
• support@qr-verse.com
• Encarregado da Proteção de Dados (EPD/DPO): support@qr-verse.com - escreva "DPO" no assunto para o encaminhamento correto.
• Representante na UE: Não designado em separado - o responsável está estabelecido na União Europeia, pelo que não é necessário um representante ao abrigo do artigo 27.º.
• Autoridade de controlo principal: Autoriteit Persoonsgegevens (AP), a autoridade neerlandesa de proteção de dados - https://autoriteitpersoonsgegevens.nl. Em Portugal, pode também recorrer à CNPD: https://www.cnpd.pt.

2. Categorias de dados pessoais que tratamos

Recolhemos apenas o necessário para prestar o serviço. Cada categoria abaixo descreve o que guardamos e porquê.

• Dados de conta

  Endereço de e-mail, nome a apresentar, preferência de idioma, hash da senha (sem OAuth) e identificadores OAuth do Google ou Apple, se entrar com eles.

• Dados de subscrição e faturação

  ID de cliente Stripe, plano, estado da subscrição, histórico de faturas, país para efeitos de IVA e os 4 últimos dígitos do cartão. Nunca vemos nem guardamos números completos - é o Stripe que trata disso.

• Metadados dos QR codes

  Os QR codes que cria, os respetivos URL de destino (códigos dinâmicos), os nomes que atribui, o tipo (URL, vCard, WiFi, etc.) e os parâmetros de estilo escolhidos.

• Estatísticas de leitura

  Carimbo temporal de cada leitura, país inferido a partir do IP do leitor (o IP nunca é guardado), classe de dispositivo (móvel/computador/tablet) e família aproximada do SO. Todas as linhas são pseudonimizadas - não podem ser ligadas a uma pessoa identificável.

• Gerações AI Art

  O prompt que envia, os parâmetros usados (estilo, intensidade ControlNet, seed) e a imagem produzida. Guardados para que possa voltar a descarregar ou regenerar. Não utilizados para treinar modelos de terceiros.

• Registos de e-mail

  Eventos de entrega, devolução, abertura e clique de e-mails transacionais e de marketing, devolvidos pelo nosso fornecedor Resend. Usados para monitorização da entregabilidade e supressão de endereços que devolvem mensagens.

• Dados de desempenho e de falhas (Dynatrace)

  A rapidez com que carregam as páginas, os ecrãs da aplicação e os pedidos a qr-verse.com, os tempos de arranque da aplicação, os relatórios de falhas, o modelo do dispositivo, o sistema operativo, a versão da aplicação e o idioma definido. No site só os recolhemos depois de aceitar as análises. Na aplicação iOS a recolha é feita no nível de desempenho da Dynatrace: cada arranque da aplicação recebe um novo identificador de visitante aleatório e a aplicação não transmite a sua conta nem o seu endereço de e-mail à Dynatrace. No nosso ambiente Dynatrace, os endereços IP e as coordenadas GPS são mascarados. A Dynatrace mede também como respondem os nossos próprios servidores.

• Registo de consentimento de cookies

  Quando aceita, recusa ou altera as preferências, registamos as categorias escolhidas, a consent_version ativa e a hora. É o trilho de auditoria exigido pelo artigo 7.º, n.º 1, do RGPD.

3. Bases legais (artigo 6.º do RGPD)

Apoiamo-nos nas seguintes bases legais, associadas às categorias acima:

• Execução de um contrato (artigo 6.º, n.º 1, alínea b)

  Dados de conta, subscrição e faturação e metadados QR - sem eles não conseguimos prestar o serviço.

• Interesse legítimo (artigo 6.º, n.º 1, alínea f)

  Estatísticas de leitura agregadas (segurança, prevenção de fraude, planeamento de capacidade), registos de erro, dados de desempenho e de falhas da aplicação iOS e dos nossos servidores (Dynatrace) e trilhos de auditoria. Ponderámos os seus interesses face aos nossos e documentámos a análise internamente.

• Consentimento (artigo 6.º, n.º 1, alínea a)

  E-mails de marketing, cookies não essenciais (analítica, marketing, afiliação) e histórico de prompts AI Art para além das sessões ativas. Pode retirar o consentimento a qualquer momento, com a mesma facilidade com que o concedeu.

• Obrigação legal (artigo 6.º, n.º 1, alínea c)

  Faturas e dados de subscrição conservados por 7 anos para cumprir a legislação fiscal (Belastingdienst neerlandês, RGCT português, normas equivalentes dos Estados-Membros).

4. Destinatários e subcontratantes

Trabalhamos com um conjunto reduzido de subcontratantes cuidadosamente selecionados. Tratam dados apenas com base nas nossas instruções escritas, ao abrigo de um Contrato de Tratamento de Dados (DPA).

Lista completa de subcontratantes: /legal/subprocessors

5. Transferências internacionais de dados

A maior parte dos seus dados permanece na UE. Alguns subcontratantes operam a partir dos Estados Unidos. Para cada transferência para os EUA apoiamo-nos nas Cláusulas Contratuais Tipo (CCT, 2021/914) da Comissão Europeia, assinadas no respetivo DPA, exceto no caso da Ahrefs (ver a nota abaixo).

• Stripe (subconjunto de dados de pagamento) - CCT + medidas suplementares da Stripe.
• Resend (metadados de e-mail) - CCT + Quadro UE-EUA de Privacidade de Dados (quando aplicável).
• Sentry (stack traces de erro) - CCT + região UE por predefinição.
• Dynatrace (dados de desempenho e de falhas) - armazenados na região do ambiente Dynatrace da QR-Verse; quando os dados saem da UE, aplicam-se as CCT do aditamento de proteção de dados da Dynatrace.
• Impact / pxf.io (cookies de afiliação, só após consentimento) - CCT.
• Cloudflare (trânsito edge) - CCT.
• Google - acordo de tratamento de dados (Data Processing Addendum) para o Google Cloud e o Google Workspace, com o módulo das CCT.
• Hugging Face (prompts, parâmetros de estilo e o conteúdo do código QR a estilizar, para a arte IA) - Contrato de Tratamento de Dados (DPA) da Hugging Face, que incorpora as CCT da UE (responsável para subcontratante); se o nosso primeiro controlo de qualidade não estiver disponível, também é enviada uma ligação para a imagem gerada (que contém o código QR) para a Hugging Face Inference Providers (router.huggingface.co) para um segundo controlo.
• Ahrefs (análise das páginas visitadas, apenas depois de aceitar as análises) - Ahrefs Pte. Ltd., Singapura, fora da UE; segundo a sua política de privacidade, os dados são armazenados nos Estados Unidos. Sem CCT, ver a nota abaixo.

As transferências para subcontratantes situados em países sem decisão de adequação baseiam-se nas CCT incluídas no DPA desse subcontratante e em medidas técnicas suplementares (cifragem em trânsito e em repouso). No caso da Google e da Hugging Face, as CCT fazem parte dos respetivos acordos de tratamento de dados indicados acima; no caso da Hugging Face, a secção 12 do DPA (cdn-media.huggingface.co/landing/assets/Data+Processing+Agreement.pdf) incorpora as CCT da UE (2021/914). Isto não se aplica à Ahrefs: a Ahrefs Pte. Ltd. está sediada em Singapura, que não beneficia de uma decisão de adequação da UE, e, segundo a sua política de privacidade, armazena nos Estados Unidos os dados que recolhe. À Ahrefs aplicam-se o seu adendo de tratamento de dados (ahrefs.com/legal/data-processing-addendum) e a sua política de privacidade (ahrefs.com/legal/privacy-policy); no caso da Ahrefs, não nos apoiamos em CCT.

6. Prazos de conservação

Conservamos dados pessoais apenas pelo tempo necessário. Prazos específicos:

• Conta ativa

  Indeterminado enquanto a sua subscrição ou conta gratuita estiver ativa.

• Conta eliminada

  Período de tolerância de 30 dias após o pedido. Durante esse período a conta está suspensa e recuperável. Decorridos 30 dias, é executada a eliminação definitiva e os identificadores são removidos.

• Dados de subscrição e faturas

  7 anos a contar da data da fatura. Imposto pela legislação fiscal (Belastingdienst neerlandês, RGCT português e normas equivalentes dos Estados-Membros).

• Estatísticas de leitura

  Linhas brutas: 90 dias. Depois agregadas em contadores dia/país e os registos detalhados são eliminados.

• Eventos de utilização do produto

  Linhas de eventos em bruto: 180 dias. Uma tarefa automatizada diária elimina as linhas com mais de 180 dias. Estes eventos são anonimizados e nunca são associados à sua conta.

• Registo de consentimento de cookies

  12 meses a partir da data da decisão. Conforme as orientações da CNIL e do EDPB.

• Registos de e-mail

  24 meses. Usados para monitorização da entregabilidade e supressão de devoluções.

• Medição do desempenho (Dynatrace)

  As sessões e as respetivas medições: 35 dias, o prazo padrão da Dynatrace para dados de sessão.

• Cópias de segurança

  Cópias cifradas com retenção rotativa de 35 dias. Em caso de pedido de eliminação, não restauraremos os seus dados a partir de cópias salvo obrigação legal.

7. Os seus direitos ao abrigo do RGPD

Tem os seguintes direitos sobre os seus dados pessoais. A maioria pode ser exercida diretamente da conta; para os restantes, escreva para support@qr-verse.com - respondemos no prazo de 30 dias.

• Direito de acesso (artigo 15.º)

  Descarregue uma cópia completa dos seus dados num arquivo ZIP.

  Exportar os meus dados ->

• Direito de retificação (artigo 16.º)

  Corrigir dados pessoais incorretos.

  Editar perfil ->

• Direito ao apagamento (artigo 17.º)

  Eliminar permanentemente a sua conta e dados pessoais. A eliminação tem 30 dias de tolerância para cancelamento.

  Eliminar a minha conta ->

• Direito de limitação (artigo 18.º)

  Solicite-nos que limitemos o tratamento enquanto uma reclamação ou correção está pendente.

  Escrever para support@qr-verse.com ->

• Direito de portabilidade (artigo 20.º)

  Receba os seus dados em formato estruturado e legível por máquina (JSON em ZIP) e transmita-os a outro responsável.

  Exportar os meus dados ->

• Direito de oposição (artigo 21.º)

  Oponha-se ao tratamento para fins de marketing ou baseado em interesse legítimo. Pode cancelar e-mails de marketing diretamente.

  Preferências de e-mail ->

• Direito de retirar o consentimento (artigo 7.º, n.º 3)

  Retire o consentimento de cookies ou marketing a qualquer momento. Tão fácil como concedê-lo.

  Preferências de cookies ->

• Direito de apresentar reclamação (artigo 77.º)

  Apresente reclamação à autoridade de controlo do seu Estado-Membro. A nossa autoridade principal é a AP neerlandesa. Em Portugal, contacte a CNPD.

  Encontrar a sua autoridade ->

8. Cookies e tecnologias semelhantes

Utilizamos quatro categorias de cookies. Apenas os Necessários estão ativos por predefinição; tudo o resto é estritamente opt-in.

Se acrescentarmos um fornecedor ou alterarmos a descrição de uma categoria, incrementamos CONSENT_VERSION (ver registo de auditoria em /api/account/cookie-consent) e o banner volta a pedir consentimento a todos os visitantes.

9. Medidas de segurança

Seguimos as práticas padrão de segurança para SaaS europeu:

• TLS 1.2+ para todo o tráfego entre si e a nossa edge (Cloudflare).
• Cifragem em repouso para a base Postgres da Supabase e os baldes de armazenamento.
• Row-Level Security (RLS) em cada tabela orientada ao utilizador - cada um lê apenas os seus dados.
• Segredos guardados em variáveis de ambiente, nunca no controlo de versões.
• Alertas Sentry para erros em runtime.
• Revisão de pentest em releases principais; programa de bug bounty disponível - escreva para support@qr-verse.com.
• Cópias de segurança cifradas com AES-256, retenção rotativa de 35 dias, exclusivamente UE.
• Autenticação de dois fatores obrigatória para contas fundadoras e disponível para todos os utilizadores.

10. Crianças

O QR-Verse não se destina a menores de 16 anos. Não recolhemos conscientemente dados pessoais de menores de 16. Se for pai, mãe ou tutor e suspeitar que a sua criança criou uma conta, escreva para support@qr-verse.com - eliminamos a conta no prazo de 5 dias úteis. Onde a lei local fixar uma idade superior (p. ex. 16 em NL/DE, 13 em PT segundo a Lei n.º 58/2019), prevalece a idade superior.

11. Alterações a esta política

Em caso de alterações substanciais:

• Atualizamos a versão e data de entrada em vigor no topo desta página.
• Notificamos todos os utilizadores por e-mail com pelo menos 30 dias de antecedência.
• Se a alteração afetar categorias de cookies, incrementamos CONSENT_VERSION para que o banner volte a pedir consentimento.
• Mantemos um arquivo das versões anteriores ligado no topo desta página.

12. Contacto

Para questões de privacidade, pedidos de titulares ou matérias do EPD:

Procuramos confirmar pedidos no prazo de 72 horas e resolvê-los em 30 dias, conforme exigido pelo artigo 12.º, n.º 3, do RGPD.