GPTugaGPTuga
Entrar

Legal

Política de Privacidade

Última actualização: 19 de setembro de 2026

1. Responsável pelo Tratamento

Entidade: EDUARDO SCHWARZ UNIP LDA (doravante "GPTuga" ou "Responsável")
Actividade: Serviços de Software e Inteligência Artificial
Sede: Portugal (União Europeia)
Contacto de Privacidade (DPO / Responsável): privacidade@gptuga.pt

A privacidade e segurança dos seus dados são fundamentais para nós. O tratamento de dados pessoais é efetuado no estrito cumprimento do Regulamento Geral sobre a Proteção de Dados (RGPD - Regulamento (UE) 2016/679) e da Lei n.º 58/2019 (Lei de Execução do RGPD em Portugal).

2. Dados Pessoais que Recolhemos e Processamos

No âmbito da prestação dos nossos serviços, recolhemos os seguintes dados, baseados no princípio da minimização:

  • Dados de Conta e Faturação: Nome, endereço de email, credenciais (password com cifra segura "hash bcrypt"), NIF (Número de Identificação Fiscal), morada de faturação e país.
  • Dados de Utilização do Serviço (Inputs): O conteúdo das conversas que mantém com a IA, documentação anexada (arquivos, imagens) e configurações pessoais da conta (ex: instruções no Agente Hermes).
  • Dados Técnicos de Navegação: Endereço IP, agente de utilizador do browser (User-Agent), carimbos de data/hora (timestamps), métricas de sessão e utilização de tokens (necessário para a operação do sistema e faturação).
  • Dados de Pagamento: Processados exclusivamente e de forma segura pelo prestador SIBS (Sociedade Interbancária de Serviços). A GPTuga não armazena o número do seu cartão de crédito completo.

3. Finalidades e Fundamento de Licitude (Art. 6.º do RGPD)

Tratamos os seus dados pessoais com base nos seguintes fundamentos jurídicos:

  • Execução de Contrato (Art. 6.º, n.º 1, alínea b): Fornecer o acesso à plataforma GPTuga, criar e manter a sua conta, bem como processar os pedidos enviados aos modelos de IA.
  • Obrigação Legal (Art. 6.º, n.º 1, alínea c): Emissão, envio e conservação de faturas e cumprimento de exigências da Autoridade Tributária Portuguesa.
  • Interesse Legítimo (Art. 6.º, n.º 1, alínea f): Prevenção contra a fraude, manutenção da segurança da rede, auditorias, resolução de problemas técnicos (troubleshooting) e melhoria continuada da performance e infraestrutura.
  • Consentimento (Art. 6.º, n.º 1, alínea a): Envio de comunicações de marketing (newsletters) e uso de cookies não-essenciais. O consentimento pode ser retirado a qualquer momento nas definições da conta ou nos emails.

4. Partilha de Dados e Subcontratantes (Subprocessors)

Para assegurar a operacionalidade da plataforma, recorremos a subcontratantes de confiança (art. 28.º RGPD). Todos os nossos fornecedores estão sujeitos a rigorosos Acordos de Tratamento de Dados (DPA):

  • Fornecedores de Inteligência Artificial (Não usam os seus dados para treino dos seus modelos):
    • OpenAI (EUA) – Tratamento de linguagem natural.
    • Anthropic (EUA) – Tratamento de linguagem natural.
    • Google (UE/EUA) – Tratamento de linguagem natural e pesquisa.
    • Alibaba Cloud (UE/EUA) – Tratamento de linguagem natural, servido a partir de infraestrutura na União Europeia (Frankfurt) e nos Estados Unidos, consoante o modelo.
  • Fornecedores de Geração de Imagens e Vídeo:
    • OpenAI (EUA) – Geração de imagens (DALL-E).
    • Google (EUA) – Geração de imagens (Nano Banana / Gemini Image).
    • Alibaba Cloud (Singapura) – Geração de imagens (Wanxiang) e de vídeo (Wan, HappyHorse), bem como síntese de voz (CosyVoice), através da plataforma Alibaba Cloud Model Studio.
  • Infraestrutura e Alojamento: Scaleway (França/União Europeia). Alojamento das nossas bases de dados, servidores web e modelos de código aberto operados em solo europeu.
  • Pagamentos: SIBS (Portugal). Entidade certificada PCI-DSS.

Garantia de Confidencialidade: A GPTuga nunca venderá os seus dados a terceiros, nem comercializará perfis de utilizadores.

5. Transferências Internacionais de Dados

Uma vez que utilizamos infraestruturas de IA de fornecedores baseados nos Estados Unidos (como OpenAI, Google e Anthropic), existe a transferência internacional de dados inerentes aos *prompts* e *inputs*. Tais transferências são salvaguardadas por mecanismos legais robustos reconhecidos pela Comissão Europeia, nomeadamente o Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework - DPF) e/ou por Cláusulas Contratuais Tipo (SCCs) aplicáveis aos respetivos DPA, de acordo com os artigos 45.º e 46.º do RGPD.

Adicionalmente, para funcionalidades de geração de imagem, vídeo e voz por inteligência artificial, recorremos aos serviços da Alibaba Cloud (Alibaba Cloud International), nomeadamente aos modelos Qwen/Wanxiang (imagem), Wan e HappyHorse (vídeo) e CosyVoice (voz), disponibilizados através da plataforma Alibaba Cloud Model Studio. O processamento destes pedidos poderá ocorrer em infraestrutura localizada em Singapura, país que não é abrangido por uma decisão de adequação da Comissão Europeia. Esta transferência internacional de dados é salvaguardada por um Addendum de Processamento de Dados (Data Processing Addendum) celebrado com a Alibaba Cloud, que incorpora por referência as Cláusulas Contratuais-Tipo (SCCs) aprovadas pela Comissão Europeia (Decisão de Execução (UE) 2021/914), nos termos dos artigos 46.º e 28.º do RGPD.

6. Segurança e Armazenamento

A nossa infraestrutura central (bases de dados, backend, frontend) encontra-se instalada na União Europeia (França), na rede cloud da Scaleway. Aplicamos as seguintes medidas organizacionais e técnicas (Art. 32.º do RGPD):

  • Encriptação em trânsito (TLS 1.3 obrigatório).
  • Encriptação da base de dados em repouso (Advanced Encryption Standard - AES-256).
  • Cópia de segurança (Backups) com mecanismos de redundância e retenção controlada.
  • Políticas de mínimo acesso, exigência de senhas fortes e gestão de controlo de acesso rigorosa internamente.

7. Conservação dos Dados Pessoais (Retenção)

O período de conservação dos dados obedece ao princípio da limitação da conservação:

  • Dados de Faturação: Conservados durante 10 anos, conforme exigência do Código do IVA português e legislação fiscal.
  • Dados de Conta e Conversas de IA: Mantidos durante a vigência do contrato (enquanto a conta estiver ativa). Poderá eliminar o histórico de chat nas definições. Caso elimine a sua conta, os seus dados não fiscais serão permanentemente eliminados dos nossos sistemas principais num prazo máximo de 30 dias.
  • Limpeza Automática de Histórico por Plano: Cada plano de subscrição tem um período de retenção de histórico de conversas próprio (indicado na página de planos). Findo esse período, o histórico mais antigo é automaticamente removido do acesso do utilizador, sendo avisado por email com 7 e 1 dia de antecedência antes de cada expiração. Após a remoção automática, os dados ficam sujeitos ao mesmo prazo de eliminação definitiva referido no ponto seguinte.
  • Carência Técnica após Remoção de Conversas: Em qualquer um dos casos acima (eliminação manual ou expiração automática por plano), a conversa deixa de estar acessível na sua conta de imediato, mas é conservada tecnicamente por um curto período adicional antes da eliminação definitiva: 90 dias quando a eliminação é feita manualmente pelo utilizador (prazo alinhado com o período de preservação de dados previsto na Lei do Cibercrime, Lei n.º 109/2009), ou 7 dias quando resulta da expiração automática por plano. Durante este período, os dados não são utilizados para qualquer outra finalidade.
  • Conteúdo Sinalizado (Retenção Legal): Caso um pedido de geração de imagem/vídeo seja bloqueado pelos nossos filtros automáticos de segurança (nomeadamente por suspeita de conteúdo sexual envolvendo menores), o registo da tentativa é conservado independentemente do prazo normal de eliminação, para efeitos de cumprimento de obrigações legais e cooperação com as autoridades competentes.
  • Logs de Segurança: Mantidos por um período não superior a 12 meses para fins de auditoria e resposta a incidentes.

8. Política de Cookies

Utilizamos cookies e tecnologias similares para o funcionamento e otimização da plataforma:

  • Cookies Estritamente Necessários: Indispensáveis para autenticação, sessões, faturação e segurança. Não carecem de consentimento prévio de acordo com a Lei n.º 41/2004 e Diretiva ePrivacy, visto serem técnicos.
  • Cookies Analíticos e de Marketing: Para avaliar a performance da aplicação (ex. estatísticas anónimas). Requerem o seu consentimento explícito e prévio.

9. Os Seus Direitos (Arts. 15.º a 22.º do RGPD)

Como Titular dos Dados, assistem-lhe os seguintes direitos:

  • Direito de Acesso: Obter confirmação sobre que dados tratamos e solicitar uma cópia.
  • Direito de Retificação: Corrigir dados inexatos ou desatualizados.
  • Direito ao Apagamento ("Direito ao Esquecimento"): Solicitar a eliminação dos dados, exceto na medida em que a sua retenção seja uma obrigação legal (ex. faturação).
  • Direito à Portabilidade: Obter os seus dados num formato estruturado, de uso corrente e leitura automática (ex: exportar chats).
  • Direito de Oposição e Limitação do Tratamento: Opor-se a certos tipos de tratamento, incluindo marketing direto.

Poderá exercer os seus direitos enviando um email para privacidade@gptuga.pt. A GPTuga responderá ao seu pedido sem demora injustificada e, em qualquer caso, no prazo de um (1) mês.

Direito de apresentar reclamação à Autoridade de Controlo: Caso entenda que houve infração no tratamento, tem o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD) através do site www.cnpd.pt.

10. Violação de Dados Pessoais (Data Breach)

No caso remoto de ocorrer uma violação de dados que represente um risco elevado para os direitos e liberdades dos utilizadores, a GPTuga compromete-se a notificar a CNPD num prazo não superior a 72 horas, e a comunicar o incidente aos respetivos titulares afetados, descrevendo de forma clara as potenciais consequências e as medidas de mitigação adotadas, conforme dita o art. 33.º do RGPD.

11. Alterações a Esta Política

A Política de Privacidade poderá ser revista periodicamente para refletir alterações legais ou operacionais. Quando efetuarmos modificações significativas, iremos notificá-lo diretamente através do email registado na sua conta ou via aviso destacado na plataforma.

12. Transparência de Inteligência Artificial

Nos termos do artigo 50.º do Regulamento (UE) 2024/1689 (AI Act), informamos que:

  • Ao usar o chat ou qualquer assistente da plataforma, está a interagir com um sistema de IA, não com uma pessoa.
  • Imagens, vídeos e áudios gerados na plataforma são conteúdo sintético, produzido automaticamente por modelos de IA, e são identificados como tal na Biblioteca de média.
  • Artigos do blog assistidos por IA são revistos por um humano antes da publicação e identificados como "Conteúdo assistido por IA" no próprio artigo.
  • O utilizador é responsável por rever e validar qualquer conteúdo gerado antes de o usar ou publicar, especialmente em contextos profissionais, legais ou financeiros.

13. Integração com APIs da Google e Requisitos de Utilização Limitada (Google Workspace Limited Use)

O GPTuga disponibiliza conectores opcionais com serviços da Google (incluindo Google Calendar, Gmail e Google Drive) para permitir a interação do utilizador com os seus dados através de instruções e comandos no chat.

A utilização e a transferência para qualquer outra aplicação de informações recebidas através das APIs do Google Workspace cumprem integralmente a Política de Dados de Utilizador dos Serviços de API da Google (Google API Services User Data Policy), incluindo os requisitos de Utilização Limitada (Limited Use):

  • Proibição de treino de modelos de IA: A utilização de dados brutos, agregados ou derivados de utilizadores recebidos através das APIs do Google Workspace cumpre rigorosamente a Política de Dados de Utilizador da Google, incluindo os requisitos de Utilização Limitada. Estes dados nunca são utilizados, transferidos ou vendidos para criar, treinar ou melhorar modelos de inteligência artificial ou de aprendizagem automática (machine learning / LLMs) fundamentais ou generalizados.
  • Acesso exclusivo a pedido do utilizador: Os dados das contas Google só são consultados ou tratados em tempo real mediante ação ou comando explícito do próprio utilizador (por exemplo, ao listar compromissos com /gcal, pesquisar emails ou mencionar ficheiros com @).
  • Segurança e Isolamento: Os tokens de autorização são cifrados em repouso com o algoritmo AES-256-GCM e nenhum conteúdo de mensagens, ficheiros ou eventos é conservado para fins secundários ou partilhado para além do necessário estritamente para a resposta imediata da sessão ativa.

14. Contacto de Privacidade

Para dúvidas relacionadas com as nossas práticas de tratamento de dados, ou para o exercício dos seus direitos, contacte-nos através do endereço:
Email: privacidade@gptuga.pt