Política de Privacidade

1. Três funções — leia isto primeiro

• Dados da plataforma (somos o responsável pelo tratamento): os dados de conta e de faturação dos inquilinos e dos membros da sua equipa, os registos do operador, as conversas de apoio e a análise da plataforma.
• Dados do sítio do inquilino (somos o subcontratante): os dados pessoais que os visitantes e os clientes fornecem ao sítio de um inquilino (encomendas, envios de formulários, contas da loja). O inquilino é o responsável pelo tratamento; nós tratamos os dados por conta do inquilino ao abrigo dos Termos e de um anexo de subcontratação de tratamento de dados (DPA) separado, disponível mediante pedido em info@olmira.app. Os pedidos relativos à loja de um inquilino devem ser dirigidos a esse inquilino; reencaminhamos os pedidos mal dirigidos sempre que possível.
• Dados da compra (o nosso comerciante registado é um responsável independente pelo tratamento): os dados pessoais que a Dodo Payments recolhe para lhe vender uma subscrição da Olmira — a identidade de faturação que lhe fornece, o seu método de pagamento, a sua fatura e os dados fiscais subjacentes. A Dodo Payments decide por si própria por que motivo e de que forma trata esses dados, ao abrigo do seu próprio aviso de privacidade; não os trata segundo instruções da Olmira. A secção 5 explica o que isso significa para si.

2. Quem é o responsável

Relativamente aos dados da plataforma, o responsável pelo tratamento é a Olmira — o operador identificado na íntegra no final desta política: Individual Entrepreneur Mario Atienza Sanchez, registado na Geórgia com o número de registo e de contribuinte 305768354, com sede em Ateni str. N6-8, Space N4b, Vake district, Tbilisi, Georgia.

Tratamos os dados da plataforma ao abrigo da legislação de proteção de dados da jurisdição do operador (Geórgia) e, quanto às pessoas situadas na UE/EEE, em conformidade com o RGPD sempre que aplicável.

3. Dados que recolhemos (como responsável pelo tratamento)

• Conta: nome, email, hash da palavra-passe, telefone opcional, adesão à autenticação de dois fatores, idioma.
• Faturação: o seu plano, as suas faturas e os metadados de pagamento que o nosso comerciante registado nos comunica — o estado de uma cobrança, a marca e os últimos dígitos do método de pagamento utilizado e o país utilizado para determinar o imposto. Nunca recebemos nem armazenamos números completos de cartão.
• Utilização e segurança: endereços IP, metadados de dispositivo e de navegador, eventos de início de sessão e de auditoria, impressões digitais de dispositivo utilizadas para prevenção de abuso, e telemetria de erros e de desempenho.
• Medição de utilização de IA: contagens dos tokens de IA e das gerações de IA consumidos no âmbito do seu plano, registadas por conta.
• O conteúdo que armazena no seu espaço de trabalho, tratado para o alojar e apresentar.
• Comunicações: pedidos de apoio, emails e mensagens dentro da aplicação.

4. Finalidades e fundamentos jurídicos

• Prestação do serviço e alojamento dos seus sítios — contrato.
• Faturação e registos fiscais — obrigação legal / contrato.
• Medição da utilização de IA para aplicar os limites do plano — contrato.
• Segurança e prevenção de fraude e abuso (incluindo a triagem ao abrigo da política de nomes) — interesse legítimo.
• Emails de serviço (verificação, segurança, alterações) — contrato.
• Análise e melhoria do produto — interesse legítimo.
• Emails de marketing — consentimento (mediante adesão prévia, revogável).

5. Partilha e subcontratantes

Não vendemos dados pessoais. Só os partilhamos com os prestadores de serviços de que dependemos para operar a plataforma, com o nosso comerciante registado das compras de subscrição, com os fornecedores de modelos de IA quando invoca funcionalidades de IA (apenas o texto introduzido, sem revenda) e, quando a lei o exige, com as autoridades. Os nossos prestadores de serviços são subcontratantes vinculados por contratos de subcontratação de tratamento de dados; o nosso comerciante registado não é um deles, e o parágrafo seguinte explica o que é em vez disso. Os nossos subcontratantes e prestadores de serviços atuais são:

• DigitalOcean — alojamento na nuvem, infraestrutura de computação e armazenamento.
• Cloudflare — DNS, CDN, TLS e segurança de borda.
• Dodo Payments — comerciante registado (merchant of record) das compras de subscrição da Olmira, e responsável independente pelo tratamento dos dados pessoais dessas compras.
• Anthropic — fornecedor de modelos de IA para as funcionalidades de IA que invoca.
• OpenAI — fornecedor de modelos de IA para as funcionalidades de IA que invoca.
• Proton — envio de emails transacionais e de conta.

A Dodo Payments não é nosso subcontratante. Como comerciante registado, vende a subscrição em seu próprio nome, pelo que determina por si própria as finalidades e os meios do tratamento que essa venda exige: identificá-lo como seu comprador, cobrar e proteger o pagamento, prevenir a fraude, emitir a sua fatura e cumprir as suas próprias obrigações fiscais, contabilísticas e de prevenção do branqueamento de capitais. Para esse tratamento é responsável independente, e não um subcontratante que atue segundo as nossas instruções, e rege-se pelo seu próprio aviso de privacidade: https://dodopayments.com/privacy-policy. Os pedidos dos titulares dos dados à Dodo Payments são apresentados através dos canais de apoio que a Dodo Payments publica: a sua página de contacto em https://dodopayments.com/contact e, para a eliminação dos seus dados, support@dodopayments.com ao abrigo da sua política de eliminação de dados (https://dodopayments.com/legal/data-deletion). Sempre que a Dodo Payments e nós trocamos dados — a encomenda que lhe transmitimos, os metadados de pagamento e de imposto que nos comunica —, cada um de nós é responsável pelos dados que detém, e nenhum atua segundo instruções do outro. Nunca recebemos os dados completos do seu cartão. Nada disto diz respeito a uma conta Stripe ou PayPal que um inquilino ligue ao seu próprio sítio para cobrar aos seus próprios clientes — essa conta pertence ao inquilino e rege-se pelo acordo que o próprio inquilino tenha com esse fornecedor.

6. Autoridades e prevenção da fraude

Divulgamos dados de conta, registos e conteúdos a autoridades policiais, tribunais, entidades reguladoras, instituições financeiras e fornecedores de pagamento sempre que a divulgação seja exigida por lei ou solicitada mediante processo legal, prova clara ou suspeita fundamentada de fraude, usurpação de identidade ou outro crime (fundamento jurídico: obrigação legal, ou interesse legítimo). A fraude que detetamos nós próprios é tratada através de medidas de aplicação da plataforma, conservando-se a prova à disposição das autoridades competentes mediante pedido legítimo. Podemos conservar, para além dos prazos habituais, os dados sujeitos a uma investigação, incluindo identificadores bloqueados (endereços IP, impressões digitais de dispositivo) necessários para fazer cumprir as proibições.

7. Transferências internacionais

A infraestrutura pode estar situada na UE/EEE, nos EUA ou na jurisdição de origem do operador (Geórgia). Sempre que dados pessoais de residentes no EEE sejam transferidos para fora da UE/EEE para um país sem decisão de adequação da UE, recorremos a cláusulas contratuais-tipo (CCT) ou a outro mecanismo de transferência válido com o fornecedor em causa, e cumprimos quaisquer regras sobre transferências transfronteiriças da jurisdição do operador. O nosso comerciante registado transfere os dados da compra que controla ao abrigo do seu próprio aviso de privacidade e dos seus próprios mecanismos de transferência.

8. Conservação

Os dados de conta são conservados durante a vida da conta e até 90 dias após a sua eliminação (ciclos de cópia de segurança), exceto quando a legislação fiscal ou contabilística exigir um prazo mais longo (faturas). Os registos de segurança são conservados durante cerca de 12 meses. A prova de uma investigação de abuso é conservada enquanto durar a investigação e quaisquer processos dela decorrentes. Os dados do sítio do inquilino são conservados segundo as instruções do inquilino enquanto o contrato estiver em vigor; quando um espaço de trabalho é suspenso — após produzir efeitos um cancelamento, uma pausa se converter em cancelamento, ou um período de avaliação expirar — os dados do espaço de trabalho e do sítio são conservados durante 90 dias e depois eliminados de forma permanente, com aviso prévio, exceto quando deveres legais de conservação ou a preservação de prova exijam um prazo mais longo.

9. Os seus direitos

Consoante a sua jurisdição, ao abrigo da legislação de proteção de dados da jurisdição do operador (Geórgia) e (quando aplicável) do RGPD: acesso, retificação, apagamento, limitação, portabilidade, oposição e retirada do consentimento.

Pode apresentar uma reclamação junto da autoridade de controlo da proteção de dados da jurisdição do operador (Geórgia) ou, no caso de residentes na UE/EEE, junto da sua autoridade de controlo local.

Os direitos sobre os dados da compra na posse do nosso comerciante registado exercem-se junto deste, uma vez que é o responsável por esses dados e não o nosso subcontratante — escreva-nos e indicar-lhe-emos o contacto correto. Os direitos sobre a sua conta Olmira, os seus sítios e o seu conteúdo exercem-se junto de nós.

• Exerça os seus direitos em:info@olmira.app

Verificamos a identidade antes de agir e respondemos no prazo de um mês.

10. Segurança

TLS em todo o lado (HSTS em olmira.app), hash de palavras-passe, autenticação de dois fatores opcional e — para funções privilegiadas — obrigatória, isolamento da base de dados por inquilino, segredos cifrados por envelope, e acesso do operador sujeito a auditoria. Nenhum método é 100% seguro; notificamos os utilizadores afetados e a autoridade de controlo competente das violações de dados pessoais que o exijam sem demora injustificada — quando se aplique um prazo, no prazo de 72 horas após termos conhecimento — nos termos exigidos pela legislação aplicável.

11. Cookies

Consulte a nossa Política de Cookies para conhecer os cookies instalados pelas superfícies da plataforma. Os sítios dos inquilinos instalam os seus próprios cookies sob a responsabilidade do inquilino.

12. Alterações

As alterações substanciais são anunciadas por email ou dentro da aplicação com pelo menos 30 dias de antecedência, sempre que viável. A data de «última atualização» indicada acima reflete sempre a versão em vigor.