POLÍTICA DE PRIVACIDADE

1. Responsável pelo tratamento

O responsável pelo tratamento dos seus dados pessoais é:

963 sp. z o.o.
ul. Aleksandra Gryglewskiego 6 lok. 8
80-303 Gdańsk
NIP: 5842878792 · REGON: 543615988 · KRS: 0001214277

Em questões relacionadas com a proteção de dados pessoais, contacte: olimpia@intuflow.pl.

2. Que dados recolhemos

2.1. Dados fornecidos durante o registo:

• Endereço de e-mail – necessário para a criação da conta e o início de sessão
• Palavra-passe – armazenada exclusivamente de forma encriptada (hash) no sistema Supabase Auth
• Nome – necessário para a personalização da conta
• Intenção (opcional) – campo de texto onde pode descrever o seu objetivo ou intenção relacionados com o desenvolvimento pessoal

2.2. Dados criados ou registados durante a utilização da aplicação:

• Data de criação da conta e identificador de utilizador (UUID) atribuído pelo sistema Supabase Auth
• Data e versão dos Termos e condições e da Política de privacidade aceites
• Respostas dadas no questionário de integração (onboarding), caso decida preenchê-lo
• O conteúdo das conversas com o assistente Lumi, os respetivos registos técnicos abreviados e os resumos da memória das conversas, caso utilize esta funcionalidade
• Conteúdos publicados na comunidade – tópicos no fórum e mensagens no chat público, visíveis para os restantes utilizadores da aplicação com sessão iniciada. Os conteúdos publicados incluem o seu nome ou pseudónimo visível no perfil
• Fotografia de perfil (avatar) – caso decida carregá-la; armazenada no sistema Supabase Storage
• Progresso nos cursos e registos das lições e questionários concluídos
• Token de subscrição de notificações push – caso consinta em receber notificações no navegador; armazenado exclusivamente até à retirada do consentimento ou à eliminação da conta

2.3. Dados técnicos:

• Endereço IP – na medida necessária para garantir a segurança do sistema
• Dados de sessão e cookies – necessários para manter a sessão de início de sessão
• Registos técnicos (logs) relacionados com o funcionamento da aplicação, a segurança e o limite de utilizações das funcionalidades
• Dados analíticos – páginas abertas, cliques, informações sobre o dispositivo e o navegador, bem como um identificador analítico guardado no armazenamento local do seu navegador (não em cookies)
• Gravações de sessão sem conteúdo – registo da disposição do ecrã, dos cliques, do deslocamento e de erros técnicos. Todo o texto é mascarado: não registamos nem o que escreve, nem o que é apresentado no ecrã – em vez de palavras aparecem asteriscos. Detalhes na secção 6

2.4. Dados sensíveis:

O campo «intenção», o questionário de integração e as conversas com o Lumi podem conter informações relativas à saúde, ao bem-estar emocional ou a outros dados de categoria especial na aceção do art. 9.º, n.º 1 RGPD. Caso introduza voluntariamente tais informações, tratamo-las exclusivamente com base no seu consentimento expresso (art. 9.º, n.º 2, al. a) RGPD). Pode retirar esse consentimento a qualquer momento, por exemplo, eliminando o conteúdo, renunciando à funcionalidade em causa ou eliminando a conta.

3. Finalidades e bases jurídicas do tratamento

4. Destinatários dos dados

4.1. Os seus dados podem ser transmitidos às seguintes categorias de destinatários:

• Supabase (Supabase Inc.) – plataforma de backend que gere a autenticação e a base de dados. A Supabase pode armazenar dados em centros de dados localizados no território da União Europeia ou fora dele, consoante a configuração dos serviços.
• Vercel (Vercel Inc.) – plataforma de alojamento na qual a aplicação funciona. A Vercel pode tratar dados técnicos, incluindo o endereço IP, no âmbito dos serviços de alojamento prestados.
• Google – fornecedor dos modelos de IA utilizados pela funcionalidade Lumi. À Google podem ser transmitidos os conteúdos da conversa e um contexto limitado necessário para gerar a resposta.
• Anthropic – fornecedor dos modelos de IA utilizados pela funcionalidade Lumi. À Anthropic podem ser transmitidos os conteúdos da conversa e um contexto limitado necessário para gerar a resposta.
• Brevo (Sendinblue SAS) – plataforma de envio de mensagens de e-mail transacionais (confirmação de registo, reposição de palavra-passe). À Brevo é transmitido o endereço de e-mail do utilizador para efeitos de entrega das mensagens.
• Bunny.net (BunnyWay d.o.o.) – plataforma de streaming de vídeo integrado nas lições dos cursos. Durante a reprodução dos materiais de vídeo, a Bunny.net pode tratar dados técnicos de ligação, incluindo o endereço IP.
• PostHog (PostHog, Inc.) – ferramenta de análise da utilização da aplicação e de gravação de sessões com conteúdo mascarado. Utilizamos a instância europeia do serviço, com servidores em Frankfurt, pelo que os dados analíticos permanecem na União Europeia. São transmitidos ao PostHog: o identificador do utilizador (UUID), as páginas abertas, os cliques, os dados técnicos do navegador e as gravações de sessão sem qualquer conteúdo de texto. Não enviamos o seu endereço de e-mail, o seu nome nem os conteúdos que cria na aplicação.
• Prestadores de serviços de contabilidade e jurídicos – exclusivamente na medida necessária ao cumprimento das obrigações do responsável pelo tratamento.

4.2. Não transmitimos os seus dados a outras entidades para fins de marketing nem vendemos dados pessoais.

5. Transferência de dados para fora do Espaço Económico Europeu (EEE)

5.1. Alguns dos nossos fornecedores, incluindo os fornecedores de infraestrutura ou de modelos de IA, podem tratar ou armazenar dados fora do Espaço Económico Europeu, incluindo nos Estados Unidos.

5.2. Nesses casos, adotamos medidas que asseguram um nível adequado de proteção dos dados, nomeadamente:

• recorremos às Cláusulas Contratuais-Tipo (CCT) aprovadas pela Comissão Europeia, quando exigidas,
• quando disponível e aplicável, recorremos igualmente a outros mecanismos de transferência conformes com a lei, incluindo decisões de adequação,
• verificamos se o fornecedor oferece garantias técnicas e organizativas adequadas,
• acompanhamos as alterações à legislação relativa à transferência de dados transatlântica.

5.3. Desde 29 de julho de 2026, os dados analíticos e as gravações de sessão são tratados exclusivamente na instância europeia do PostHog, em servidores situados em Frankfurt. Anteriormente eram enviados para os servidores desse fornecedor nos Estados Unidos; após a transferência, estes dados não saem do Espaço Económico Europeu.

6. Cookies e tecnologias semelhantes

6.1. A Aplicação INTUflow utiliza cookies e tecnologias semelhantes exclusivamente para fins técnicos necessários ao funcionamento correto da aplicação:

• Cookies de sessão – servem para manter a sessão de início de sessão do utilizador. São eliminados após o encerramento da sessão ou o fecho do navegador.
• Cookies de fornecedores externos – a Supabase e a Vercel podem definir os seus próprios cookies técnicos necessários ao funcionamento dos respetivos serviços.

6.2. Análise e gravação de sessões. A aplicação utiliza o PostHog para saber quais as funcionalidades utilizadas e onde ocorrem erros. Não instala cookies – o identificador analítico é guardado no armazenamento local do seu navegador e não é anexado aos pedidos enviados ao nosso servidor.

6.3. As gravações de sessão não contêm qualquer texto. É mascarado tanto o que escreve como o que é apresentado no ecrã – na gravação, as palavras são substituídas por asteriscos. Isto significa que a gravação não contém o conteúdo do seu diário, das suas conversas com a Lumi, das publicações no fórum nem das respostas aos questionários. Permanecem visíveis: a disposição da página, os cliques, o deslocamento, as transições entre ecrãs e as mensagens de erro técnicas.

6.4. A aplicação não utiliza cookies nem outras tecnologias de marketing, não o perfila para fins publicitários e não transfere dados para redes de publicidade.

6.5. Pode gerir as definições de cookies no seu navegador. No entanto, a desativação dos cookies pode impossibilitar o início de sessão correto e a utilização da aplicação.

7. Período de conservação dos dados

• Dados analíticos e gravações de sessão – os eventos analíticos são conservados no máximo 12 meses e as gravações de sessão cerca de 30 dias, após o que são automaticamente eliminados pelo fornecedor do serviço. Pode opor-se a este tratamento em qualquer momento, escrevendo para o endereço indicado na secção 1.
• Dados da conta – conservamo-los durante o período de utilização da aplicação. Após a eliminação da conta, os dados da conta, a fotografia de perfil e o token de notificações push são eliminados permanentemente. Os conteúdos publicados na comunidade (tópicos do fórum, mensagens de chat) são anonimizados – o nome do autor é substituído pela designação «Utilizador eliminado» e o conteúdo permanece visível para preservar a coerência das conversas. Os dados conservados exclusivamente para efeitos de defesa contra pretensões são eliminados após o decurso do prazo de prescrição (em princípio, até 6 anos, nos termos do art. 118.º do Código Civil polaco).
• Respostas de integração, intenção e dados armazenados para a personalização das funcionalidades – em princípio, durante o período de manutenção da conta ou até à sua eliminação antecipada por si, com exceção dos dados necessários à defesa contra pretensões.
• Registos de aceitação dos documentos legais – durante o período necessário para demonstrar quando e qual versão dos documentos foi aceite, não superior ao prazo de prescrição das pretensões.
• Dados relacionados com o Lumi – durante o período necessário ao funcionamento da funcionalidade, à personalização das respostas e à conservação do histórico técnico, em princípio durante o período em que a conta estiver ativa ou até à sua eliminação antecipada de acordo com o processo em vigor.
• Dados técnicos e registos (logs) – durante um período não superior ao necessário para garantir a segurança do sistema, não superior a 12 meses.
• Dados sensíveis introduzidos voluntariamente pelo utilizador – até à eliminação da conta ou à retirada do consentimento, com exceção do prazo de prescrição das pretensões.

8. Os seus direitos

Nos termos do RGPD, assistem-lhe os seguintes direitos:

• Direito de acesso – pode obter informações sobre quais dos seus dados tratamos, bem como uma cópia desses dados.
• Direito de retificação – pode solicitar a retificação de dados incorretos ou incompletos.
• Direito ao apagamento («direito a ser esquecido») – pode solicitar o apagamento dos seus dados caso não existam fundamentos jurídicos para o seu tratamento continuado.
• Direito à limitação do tratamento – pode solicitar a limitação temporária do tratamento dos dados em determinadas situações.
• Direito à portabilidade dos dados – pode receber os seus dados num formato estruturado e transmiti-los a outro responsável pelo tratamento.
• Direito de oposição – pode opor-se ao tratamento baseado no interesse legítimo do responsável pelo tratamento.
• Direito de retirar o consentimento – no caso dos dados sensíveis, pode retirar o consentimento a qualquer momento.
• Direito de apresentar reclamação – caso considere que o tratamento viola as disposições do RGPD, pode apresentar reclamação ao Presidente da Autoridade de Proteção de Dados Pessoais da Polónia (UODO) (ul. Stawki 2, 00-193 Warszawa).

Para exercer os direitos acima, escreva para o endereço: olimpia@intuflow.pl. Respondemos, em princípio, no prazo de 30 dias.

9. Contacto

Em questões relacionadas com a proteção de dados pessoais, com a presente Política de privacidade ou com o exercício dos seus direitos, contacte-nos:

E-mail: olimpia@intuflow.pl
Dados para correspondência: 963 sp. z o.o., ul. Aleksandra Gryglewskiego 6 lok. 8, 80-303 Gdańsk.

10. Alterações à Política de privacidade

10.1. A presente Política de privacidade pode ser atualizada em caso de alterações legais, técnicas ou organizativas.

10.2. Informaremos os utilizadores da aplicação das alterações relevantes através de uma notificação na aplicação ou de uma mensagem de e-mail.

10.3. Recomendamos a consulta regular da presente Política.