Versão 2026-10-30-demo-attribution-privacy-v6 · adotada pelo prestador em . A decisão de publicação é do prestador e não constitui certificação por uma autoridade ou parecer profissional independente.
1. Quem trata os dados
MINOVATE TECHNOLOGY LTD · Company number 17469954 · Registered office: 71-75 Shelton Street, Covent Garden, London, United Kingdom, WC2H 9JQ · Registada em England and Wales.
A sociedade é responsável pela operação descrita nesta versão desde a publicação. Os registos anteriores não são atribuídos retroativamente à LTD; uma eventual transferência da operação anterior será comunicada separadamente. Contacto de privacidade: admin@atuagestao.com.
Referência de registo ICO: ZC265577. O pagamento da taxa não constitui certificação de conformidade.
2. Responsável e subcontratante
A A Tua Gestão atua como responsável pelo tratamento dos dados de visitantes, pedidos de demonstração, contas, faturação, segurança e relação comercial. Para os dados que um cliente empresarial introduz sobre os seus clientes, colaboradores e contactos, esse cliente é o responsável e a A Tua Gestão atua como subcontratante, nos termos do Anexo de Tratamento de Dados.
3. Dados tratados
Podemos tratar dados de identificação e contacto, entidade e função profissional, credenciais e identificadores de autenticação, plano e faturação, dados fiscais, pedidos de suporte, registos de segurança, preferências de comunicações e informação técnica necessária à operação. Os novos pedidos não conservam atribuição de campanhas.
Nos espaços dos clientes podem existir contactos, marcações, serviços, comunicações, pagamentos e dados de saúde: anamnese, alergias, medicação, notas, fotografias e planos de tratamento. O espaço define as finalidades e recolhe consentimento explícito separado, no fluxo dos artigos 6.º(1)(a) e 9.º(2)(a). Pode ser retirado na ficha autenticada, suspendendo novos tratamentos dependentes dele. Estes dados não são enviados para IA, WhatsApp, email ou telemetria. O contacto de privacidade não é uma nomeação de DPO.
4. Finalidades e bases legais
- prestar conta, subscrição e suporte: execução do contrato/diligências solicitadas, quando o titular é parte; para contactos que representam uma empresa, interesses legítimos na gestão dessa relação, sujeitos a ponderação;
- faturação, obrigações fiscais e resposta legalmente exigida a autoridades: cumprimento das obrigações aplicáveis;
- segurança, prevenção de fraude e defesa de direitos: interesses legítimos ponderados, com minimização;
- responder a demonstrações: diligências solicitadas pelo titular ou gestão legítima do contacto empresarial, conforme o caso;
- comunicações facultativas de marketing: consentimento retirável, sem impedir o serviço ou a resposta a um pedido.
O país, nome, morada, eventual número de IVA/VAT e declaração de uso profissional fornecidos na subscrição são usados para verificar elegibilidade e preparar faturação correta. A declaração é registada com data e versão da política, sem ser apresentada como comprovativo documental. Se for indicado um número de IVA português, os dados necessários podem ser consultados no VIES da Comissão Europeia. O resultado, data, versão da política e eventual decisão manual/evidência são registados separadamente dos leads comerciais. A ausência de IVA/VAT não exige revisão manual por si só; dados obrigatórios em falta, inconsistências ou exceções fiscais podem impedir o checkout automático e permitem revisão humana.
5. Formulário de demonstração
A confirmação de leitura da Política é separada do consentimento facultativo para comunicações por email. Recusar comunicações de marketing não impede a resposta ao pedido. O registo inclui a versão do aviso definida no servidor, a data da confirmação e a opção de comunicações. Com autorização para guardar a origem da campanha, a origem, o meio e a campanha aprovados podem ser associados ao pedido; sem essa autorização, não são guardados em novos pedidos. A medição Google Ads, quando configurada, exige uma escolha independente no navegador. Quando ativado, o alerta interno contém apenas uma referência e um link para o painel autenticado.
6. Conservação
Dados do espaço após cancelamento
Enquanto a subscrição está em vigor, os dados do espaço são tratados para prestar o serviço. Após o cancelamento efetivo, o acesso é desativado e o prazo normal de conservação operacional é de 60 dias. Durante os primeiros 30 dias após a cessação, o proprietário pode solicitar devolução ou exportação assistida através de admin@atuagestao.com; isto não equivale a manter acesso interativo ao espaço cancelado.
No fim do prazo, o processo de eliminação verifica novamente o cancelamento e eventual obrigação de conservação, desativa os recursos e elimina a base dedicada. Falhas são acompanhadas e repetidas; uma obrigação legal de conservação pode suspender a eliminação. Registos próprios de faturação, aceitações e auditoria não são eliminados por esse processo e seguem as suas finalidades legais.
O limite da política para backups é de 90 dias após a cessação. A janela de recuperação atualmente verificada no projeto Neon do espaço é de sete dias. Esta janela não representa uma garantia sobre todas as cópias internas do fornecedor. Backups não são reutilizados para operação normal; numa recuperação de desastre, as instruções de eliminação são reaplicadas.
- Conta, suporte e pedidos sem contratação: enquanto necessários para gerir a relação, responder ao pedido ou resolver um incidente; a revisão da necessidade e eventual eliminação são operacionais, não um prazo automático já implementado.
- Faturas e registos contabilísticos: segundo o prazo fiscal aplicável à sociedade, normalmente seis anos após o fim do exercício relevante no UK, com extensão quando a lei ou um litígio a exigir.
- Registos de operações OSS: dez anos a contar do fim do ano civil da operação. Este prazo não implica guardar indiscriminadamente documentos pessoais ou de saúde pelo mesmo período.
- Aceitações, provas profissionais e auditoria: apenas o necessário para demonstrar o contrato, a revisão fiscal e a segurança ou defender direitos. A expiração de uma aprovação não apaga automaticamente a evidência; documentos de suporte exigem minimização própria.
7. Destinatários e subprocessadores
A operação utiliza Clerk (autenticação), Stripe (pagamentos e documentos das subscrições), Vercel (execução/alojamento), Neon (base de dados), Resend (email) e Cloudflare (DNS, serviços de rede conforme configuração e armazenamento privado de backups cifrados). A sociedade utiliza Starling para a conta bancária e Xero para a sua contabilidade, sem enviar uma segunda fatura ao cliente pela mesma operação. A Comissão Europeia recebe os dados necessários à consulta VIES. Contabilistas, assessores e autoridades recebem dados quando necessário e com fundamento aplicável.
Os papéis variam por serviço: alguns destinatários atuam como responsáveis próprios, outros como subcontratantes. O inventário abaixo indica finalidade, dados e contratos de tratamento; pode solicitar informação adicional sobre a conta e mecanismos de transferência pelo contacto de privacidade. Cookiebot, Google Analytics e Meta Pixel não são carregados. Google Ads só é carregado quando a medição está configurada e autorizada pelo visitante.
Medição Google Ads facultativa
As Preferências de publicidade permitem escolher separadamente se a origem da campanha é guardada no pedido de demonstração e se o Google Ads mede novos pedidos confirmados e, se ativado, inícios de experiência gratuita. Recusar ou retirar qualquer escolha não impede o pedido, a resposta nem a subscrição. O consentimento para emails é separado. Não ativamos Google Analytics, Meta Pixel, remarketing ou conversões avançadas.
Antes da autorização, as tags publicitárias Google ficam bloqueadas. Após autorização, a tag só é executada na página de demonstração, numa página pública aberta a partir de um clique num anúncio (para conservar esse identificador de clique) e na página de confirmação quando a experiência gratuita fica ativa. O Google pode receber endereço IP e dados técnicos do navegador, URL da página sem parâmetros de texto livre, identificador de clique quando presente e identificador opaco para deduplicação (UUID do pedido ou hash irreversível da referência do checkout). Não enviamos nomes, emails, telefones, nomes de negócio, mensagens ou dados de saúde. Um trial não é registado como compra nem tem valor associado.
Cada escolha fica guardada separadamente no localStorage durante 180 dias (atg:ads-consent:v2 e atg:attribution-consent:v1). Com autorização para atribuição, a origem, o meio e o nome de campanha aprovados podem ser guardados no sessionStorage deste separador e associados ao pedido de demonstração enquanto necessários à gestão do pedido. Termos de pesquisa, identificadores de clique e valores UTM de texto livre não são guardados no pedido. Com autorização para o Google, os cookies de clique Google Ads (_gcl_*) são configurados para 90 dias, sem renovação por visita. A retirada elimina, conforme a escolha, a atribuição da sessão ou os cookies publicitários acessíveis e pode recarregar a página; não elimina automaticamente dados já recebidos pelo Google ou guardados com um pedido. Pode solicitar a eliminação pelo contacto de privacidade indicado na Política de Privacidade. A medição é parcial porque depende do consentimento e de bloqueios do navegador.
Fornecedor: Google Ireland Limited; pode existir tratamento internacional. Google Privacy · Google Ads data terms
Inventário de fornecedores da operação
| Serviço | Entidade e localização/transferências | Finalidade | Dados | Contrato de tratamento |
|---|---|---|---|---|
| Clerk | Clerk, Inc. Serviço internacional; DPF quando aplicável e cláusulas contratuais-tipo como salvaguarda. | Identidades, sessões e organizações | Identificação e contacto dos utilizadores; dados de autenticação | DPA de Clerk |
| Vercel | Vercel, Inc. A verificação de backups está configurada para Sandbox em Frankfurt; outros serviços, suporte e subprocessadores dependem da conta e das salvaguardas aplicáveis. | Alojamento, execução, registos técnicos e verificação de backups e restauros | Pedidos à aplicação e dados processados pelo runtime, incluindo dados dos espaços e de saúde autorizados em cópias temporárias durante a verificação de backups e restauros | DPA de Vercel |
| Neon | Databricks, Inc. / Neon, LLC Base dedicada em Londres (aws-eu-west-2); termos atuais incorporam o contrato Databricks. Suporte e subprocessadores podem operar noutras regiões. | Bases de dados dedicadas e recuperação | Dados do espaço, incluindo os dados de saúde autorizados | DPA de Neon |
| Resend | Plus Five Five, Inc. Serviço internacional; DPF quando aplicável e cláusulas contratuais-tipo. | Envio de comunicações transacionais | Destinatário, mensagem operacional genérica e estado; sem dados de saúde | DPA de Resend |
| Cloudflare | Cloudflare, Inc. Os backups usam R2 na jurisdição UE; outros serviços, suporte e subprocessadores podem operar internacionalmente, com as salvaguardas aplicáveis do DPA. | DNS, serviços de rede e armazenamento privado de backups cifrados | Domínios, metadados técnicos e cópias cifradas das bases dos espaços, que podem incluir dados de saúde autorizados | DPA de Cloudflare |
Stripe trata pagamentos e documentos da relação comercial; Starling e Xero tratam banca e contabilidade da Minovate. Não lhes enviamos uma cópia da base interna do espaço para essas finalidades. Os papéis próprios de cada fornecedor são os definidos no respetivo contrato.
Este inventário não declara que todos os dados ficam na UE ou no Reino Unido. As regiões, acessos de suporte e mecanismos de transferência dependem do serviço e da conta contratados. Informação adicional pode ser solicitada ao contacto de privacidade. A existência de um DPA público não comprova a sua aceitação nem a cobertura de qualquer plano: o prestador é responsável por manter os contratos e salvaguardas aplicáveis à operação.
8. Transferências internacionais
O serviço é gerido no Reino Unido e pode recorrer a fornecedores e suporte noutros países. A transferência UE→UK e as transferências posteriores são avaliadas separadamente. Só se utiliza adequação quando cobre o destinatário e a finalidade; nos restantes casos são necessárias salvaguardas aplicáveis, como cláusulas contratuais-tipo da UE e UK Addendum/IDTA, avaliação de risco e medidas suplementares. O contacto de privacidade disponibiliza informação sobre as salvaguardas aplicáveis; esta publicação não afirma que todos os dados ficam na UE ou no Reino Unido, nem constitui uma certificação dos fornecedores.
9. Direitos
Nos termos aplicáveis, o titular pode pedir acesso, retificação, apagamento, limitação, portabilidade, oposição e retirada de consentimento sem afetar a licitude anterior. Pode reclamar junto do Information Commissioner’s Office (ICO) no Reino Unido e, quando aplicável, da Comissão Nacional de Proteção de Dados (CNPD). Quando os dados pertencem ao espaço de um cliente, o pedido deve ser dirigido primeiro a esse cliente enquanto responsável pelo tratamento.
10. Verificações automatizadas e segurança
A subscrição utiliza a declaração profissional e verificações técnicas de país, IVA/VAT quando indicado, correspondência de dados e política fiscal. O percurso normal não exige envio prévio de comprovativos. Exceções ou inconsistências podem exigir esclarecimento e revisão manual, sem cobrança; o interessado pode solicitar análise humana, contestar o resultado e corrigir os dados pelo contacto de privacidade. São aplicadas medidas proporcionais de controlo de acesso, segregação, registo e resposta a incidentes; nenhum sistema é isento de risco.
11. Alterações
A versão, data e alterações materiais serão apresentadas nesta página. Uma mudança de finalidade ou fundamento será avaliada antes de produzir efeitos, e será pedido novo consentimento quando exigido.
Enquadramento UK/UE
A revisão inclui o UK GDPR, o Data Protection Act 2018 e o RGPD da UE quando aplicável à oferta dirigida a Portugal. Os mecanismos de transferência devem ser avaliados para o tratamento real.
Representante na União Europeia
O representante da MINOVATE TECHNOLOGY LTD ao abrigo do artigo 27.º do RGPD é Yuri de Meirelles Motta, estabelecido em Portugal. Titulares de dados e autoridades podem contactar diretamente yuri.motta@minovate.io. Para correspondência postal, solicite por email um canal adequado. A morada residencial não é publicada nesta página.
A nomeação não transfere as obrigações ou a responsabilidade da sociedade, nem constitui nomeação de um encarregado de proteção de dados.
Base normativa
A revisão considera o RGPD e a Lei n.º 58/2019.