Política de Privacidade.

1Quem é responsável

Traços Generosos, Lda., NIPC 518762068, com sede no Carregado, Portugal morada completa por confirmar.

Contacto para proteção de dados: privacidade@struqia.ai.

Encarregado de Proteção de Dados: não designado — a justificação está na secção 9.

2Os dois chapéus

Esta política faz uma distinção que quase nenhuma faz, e é a mais importante de todas.

O que isto significa na prática: um trabalhador, cliente ou fornecedor de uma empresa que usa a Struqia e que queira exercer os seus direitos sobre esses dados tem como interlocutor essa empresa. Um pedido dirigido a nós é encaminhado para ela, com aviso de que o foi — não podemos apagar nem alterar dados de uma empresa cliente por iniciativa própria, porque a decisão não é nossa.

3Que dados, para quê, com que base legal

Visitantes do site

Os registos técnicos da infraestrutura (endereço IP, navegador, pedido, momento) servem para servir as páginas e manter o serviço seguro, com fundamento no interesse legítimo (art. 6.º/1/f).

Pedidos de convite

Contas de utilizador

Funcionamento, segurança e faturação

4Com quem partilhamos

Não vendemos dados. Não os cedemos para fins de terceiros. Não fazemos publicidade dirigida.

Recorremos a subcontratantes que tratam dados por nossa conta, sob contrato escrito com as cláusulas do artigo 28.º do RGPD:

Podemos ainda divulgar dados a autoridades quando a lei o exigir, e a advogados, contabilistas ou auditores sujeitos a sigilo. Se a Struqia for vendida ou fundida, os dados acompanham o negócio — e avisamos antes.

5Transferências para fora da União Europeia

Por omissão, os dados ficam na União Europeia. A base de dados, a autenticação e todos os ficheiros — fotografias de obra, fotografias de faturas, cópias de segurança — estão alojados em Frankfurt, Alemanha.

Há três exceções, que declaramos em vez de esconder:

• Anthropic (EUA) — inteligência artificial. Quando se usa uma funcionalidade de IA, o conteúdo desse pedido é processado nos Estados Unidos. Mecanismo: Cláusulas Contratuais-Tipo da Comissão Europeia (art. 46.º) e o Adendo de Tratamento de Dados da Anthropic. A Anthropic compromete-se por escrito a não treinar modelos com o conteúdo dos clientes e a não conservar os pedidos por omissão.
• Resend (EUA) — emails de convite. O endereço do destinatário, o nome de quem convida e o nome da empresa passam pela Resend, que guarda o conteúdo e os registos de entrega nos EUA durante 30 dias. Mecanismos: Cláusulas Contratuais-Tipo e participação no EU-U.S. Data Privacy Framework.
• Cloudflare — rede global. O site é servido a partir do ponto de presença mais próximo de quem o visita, com Cláusulas Contratuais-Tipo e Data Privacy Framework.

6Durante quanto tempo guardamos

7Duas situações que merecem aviso

Dados de trabalhadores das empresas clientes

As validades de documentos (fichas de aptidão, formação, seguros) não são «dados sensíveis» na definição do artigo 9.º do RGPD — mas tocam em saúde e em relação laboral, e um erro aqui é caro. Por isso: estes dados são visíveis apenas ao escritório da empresa em causa, nunca são enviados para a aplicação do encarregado, nunca são enviados para a IA, e nunca saem da União Europeia. A responsabilidade de informar os trabalhadores é da empresa empregadora.

Fotografias de obra

A aplicação do encarregado existe para registar o andamento dos trabalhos, não para vigiar pessoas. As fotografias viajam como referências internas e nunca como endereços públicos: não existe nenhuma ligação partilhável que dê acesso a uma fotografia de obra sem autenticação.

8Cookies e armazenamento no navegador

O que existe é armazenamento local no próprio navegador, que não sai do dispositivo:

Tudo isto é estritamente necessário para prestar o serviço solicitado. Ao abrigo do artigo 5.º/3 da Diretiva ePrivacy e do artigo 6.º da Lei 41/2004, o armazenamento estritamente necessário não carece de consentimento — e é por isso que a Struqia não tem, e não precisa de ter, banner de cookies.

9Os direitos dos titulares

Sobre os dados de que somos responsáveis, qualquer pessoa pode exercer os direitos de acesso, retificação, apagamento, limitação, portabilidade e oposição, incluindo a oposição a tratamentos fundados em interesse legítimo.

Como: por email para privacidade@struqia.ai. Respondemos em 30 dias, prorrogáveis por mais 60 em casos complexos, com informação da prorrogação e do motivo. Podemos pedir informação para confirmar a identidade — só o suficiente, e nunca uma cópia do cartão de cidadão inteira.

Dentro da aplicação, sem escrever a ninguém: exportação completa dos dados a qualquer momento; pedido de eliminação da empresa e dos dados; pedido de eliminação da conta pessoal. Os pedidos de eliminação mostram a data-limite em que a eliminação estará concluída.

Se os dados forem de uma empresa cliente, encaminhamos o pedido para essa empresa e damos disso conhecimento a quem o apresentou, em regra em 5 dias úteis.

Reclamação: junto da Comissão Nacional de Proteção de Dados — Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa · cnpd.pt.

Porque não temos Encarregado de Proteção de Dados

A designação é obrigatória quando o responsável é uma entidade pública, quando a atividade principal implica controlo regular e sistemático de titulares em larga escala, ou quando implica o tratamento em larga escala de categorias especiais de dados (art. 37.º/1 RGPD). Nenhuma das três se verifica: somos uma sociedade privada, a nossa atividade é software de gestão de obra e não a vigilância de pessoas, e não tratamos categorias especiais em larga escala. Existe, ainda assim, uma pessoa responsável pelo tema e um endereço de contacto.

Mantemos registo das atividades de tratamento (art. 30.º). A dispensa para entidades com menos de 250 trabalhadores existe, mas a CNPD é explícita ao dizer que são absolutamente excecionais as circunstâncias em que se aplica — e o nosso tratamento é contínuo, não ocasional.

10Violações de dados

Se ocorrer uma violação de dados suscetível de resultar em risco para os direitos e liberdades das pessoas, notificamos a CNPD em 72 horas a contar do momento em que dela tivermos conhecimento (art. 33.º). Se o risco for elevado, comunicamos também aos titulares, sem demora injustificada (art. 34.º).

Quando a violação afetar dados de que somos subcontratantes, notificamos a empresa cliente em 48 horas — antes do prazo que ela própria tem perante a CNPD, para que lhe sobre tempo de decidir.

11Segurança

O isolamento entre empresas é aplicado no motor da base de dados e não no ecrã: um utilizador de uma empresa não consegue ler dados de outra nem que escreva o endereço à mão. As comunicações são cifradas, os ficheiros vivem em armazenamento privado sem endereços públicos, as palavras-passe são guardadas apenas como resumo criptográfico, há cópias diárias e registo de eventos.

12Alterações a esta política

Publicamos sempre a versão datada. Alterações substanciais são comunicadas por email ao dono de cada empresa cliente com pelo menos 30 dias de antecedência.

Ver também os Termos de Serviço.