Política de Privacidade — M8BOT - FISC

Versão 1.0 — 19 de outubro de 2026

Esta política explica como a POLIEDRO SALGADO UNIPESSOAL, LDA. trata dados pessoais no serviço M8BOT - FISC (o Serviço), nos termos do Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679, RGPD) e da Lei n.º 58/2019, de 8 de agosto.

1. Quem trata os seus dados

O Serviço envolve dois papéis diferentes:

Se os seus dados aparecem nos registos de uma obra (por exemplo, trabalhador fotografado ou representante do empreiteiro), deve dirigir os seus pedidos à organização que os registou. Se nos contactar, encaminhamos o pedido para essa organização.

A Poliedro Salgado não está obrigada a designar um encarregado de proteção de dados (artigo 37.º do RGPD): não trata dados em grande escala nem categorias especiais de dados como atividade principal. Para questões de privacidade, contacte miguel@poliedrosalgado.com.

2. Dados que tratamos como responsáveis

No fim de cada prazo, os dados são eliminados automaticamente por uma tarefa diária, que nunca apaga dados ainda dentro do prazo nem de organizações com contrato em vigor. Os registos de auditoria que não pertencem a nenhuma organização (por exemplo, a eliminação de uma conta) são conservados 5 anos.

Os dados assinalados como obrigatórios nos formulários de registo e de faturação são necessários para celebrar o contrato e para cumprir obrigações fiscais. Sem eles não é possível criar a conta, subscrever um plano ou emitir a fatura.

Não fazemos marketing com os seus dados, não os vendemos e não tomamos decisões automatizadas com efeitos jurídicos sobre si (artigo 22.º do RGPD).

3. Cookies e armazenamento no dispositivo

• Usamos apenas um cookie estritamente necessário: __Host-fs, de sessão, HttpOnly, Secure, SameSite=Strict.
• A app guarda dados no seu dispositivo (IndexedDB, localStorage e cache do service worker) para funcionar sem rede e para lembrar as suas preferências (por exemplo, o tema claro ou escuro).
• Não usamos cookies de publicidade nem ferramentas de análise de terceiros. Por isso, não é pedido consentimento para cookies (artigo 5.º, n.º 2, da Lei n.º 41/2004, de 18 de agosto).
• A página de pagamento da Stripe, para onde é encaminhado ao pagar, usa os seus próprios cookies, segundo a política de privacidade da Stripe.
• Ao sair da conta pode optar por apagar os dados do dispositivo.

4. Funcionalidades de inteligência artificial

• Quando um utilizador usa uma funcionalidade de IA, os dados necessários para esse pedido são enviados à OpenAI. Estes dados podem ser textos, dados da obra, fotografias ou o áudio de uma nota de voz.
• Modelos usados atualmente: gpt-4.1-mini (texto e imagem) e gpt-4o-mini-transcribe (transcrição). Podem ser substituídos por modelos equivalentes.
• A OpenAI atua como subcontratante, ao abrigo do seu acordo de tratamento de dados.
• Pelas condições atuais da OpenAI para a API:
  • os dados não são usados para treinar modelos;
  • podem ser guardados até 30 dias para monitorização de abusos, salvo nos casos em que a OpenAI não os conserva.
• O tratamento pode ocorrer nos Estados Unidos, com as garantias da secção 6.
• Os resultados são sugestões «a confirmar» e não são decisões automatizadas sobre pessoas.
• As funcionalidades de IA só são usadas quando um utilizador as aciona. Recomendamos que não inclua dados pessoais desnecessários nos pedidos.

5. Quem recebe os dados

Também consultamos o sistema VIES da Comissão Europeia para validar números de IVA de empresas da UE.

Os dados podem ser comunicados a autoridades (por exemplo, a Autoridade Tributária, tribunais ou a CNPD) quando a lei o exija.

6. Transferências para fora do Espaço Económico Europeu

As transferências para os EUA (OpenAI e, eventualmente, Stripe e Google) só se fazem com as garantias do capítulo V do RGPD:

• a adesão da entidade ao EU-U.S. Data Privacy Framework (decisão de adequação da Comissão Europeia de 10 de julho de 2023), quando exista; ou
• as cláusulas contratuais-tipo da Comissão Europeia (Decisão de Execução (UE) 2021/914), incluídas nos acordos de tratamento de dados desses fornecedores.

Pode pedir-nos cópia das garantias aplicáveis.

7. Segurança

• Comunicações por HTTPS/TLS.
• Dados das obras, fotografias e ficheiros cifrados no servidor (AES-256-GCM, uma chave por organização).
• Senhas guardadas só como hash scrypt.
• Isolamento entre organizações e permissões por papel e por obra.
• Limites de tentativas de login e proteção CSRF.
• Política de segurança de conteúdos (CSP) restritiva.
• Registo de auditoria.
• Cópias de segurança cifradas diárias, guardadas 14 dias.

Nenhum sistema é totalmente seguro. Em caso de violação de dados:

• notificamos a CNPD em 72 horas, quando exigido (artigo 33.º do RGPD);
• informamos sem demora injustificada as organizações e, quando exigido (artigo 34.º do RGPD), os titulares afetados.

8. Os seus direitos

• Tem direito de acesso, retificação, apagamento, limitação, portabilidade e oposição (artigos 15.º a 21.º do RGPD). Pode opor-se a qualquer momento aos tratamentos baseados no interesse legítimo, por motivos relacionados com a sua situação particular.
• Na app:
  • Conta → Exportar os meus dados pessoais (acesso e portabilidade);
  • Conta → Apagar a minha conta (apagamento);
  • instruções completas, também sem a app e por email, em /eliminar-conta/;
  • Organização → Dados e RGPD → Exportar tudo (administradores): arquivo ZIP com todos os registos, fotografias e ficheiros da organização.
• Também pode escrever para miguel@poliedrosalgado.com. Respondemos no prazo de um mês, que pode ser prorrogado nos termos do artigo 12.º do RGPD.
• O exercício destes direitos é gratuito e não depende da aceitação de novas versões dos Termos.
• Tem o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD):
  • Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa;
  • www.cnpd.pt.

9. Menores

O Serviço destina-se a maiores de 18 anos e não se dirige a crianças.

10. Alterações

Podemos atualizar esta política. As alterações relevantes são comunicadas por email e na app antes de entrarem em vigor. A versão em vigor está sempre em https://app.poliedrosalgado.com/privacidade/.

Anexo — Acordo de Tratamento de Dados (artigo 28.º do RGPD)

Anexo à Política de Privacidade e parte integrante dos Termos e Condições de Utilização — Versão 1.0 — 19 de outubro de 2026

Partes:

• Responsável pelo tratamento: a Organização cliente identificada na conta (o Cliente).
• Subcontratante: POLIEDRO SALGADO UNIPESSOAL, LDA., NIPC 517622459, Rua do Porto Novo, Bloco 26, r/c esq., 7500-160 Vila Nova de Santo André (o Prestador).

Este Acordo aplica-se aos dados pessoais que os Utilizadores do Cliente registam no serviço M8BOT - FISC (os Dados do Cliente). É celebrado por via eletrónica, com a aceitação dos Termos (artigo 28.º, n.º 9, do RGPD), e vigora enquanto o Prestador tratar Dados do Cliente. A pedido, o Prestador disponibiliza uma cópia assinada. Os termos com maiúscula inicial não definidos aqui têm o sentido dos Termos.

Cláusula 1.ª — Objeto e duração

O Prestador trata os Dados do Cliente por conta deste, apenas para prestar o Serviço. Esse tratamento inclui:

• alojamento, cifra, sincronização e conversão de ficheiros;
• funcionalidades de IA acionadas pelos Utilizadores;
• envio de notificações por email;
• cópia de segurança, exportação, eliminação e suporte.

O tratamento dura enquanto vigorar o contrato e durante o prazo da cláusula 10.ª.

Cláusula 2.ª — Instruções

1. O Prestador trata os Dados do Cliente apenas segundo instruções documentadas do Cliente, incluindo quanto a transferências internacionais. São instruções:
   • os Termos;
   • este Acordo;
   • as configurações e ações feitas pelos Utilizadores na app.
2. Se o direito da União ou de Portugal o obrigar a outro tratamento, o Prestador informa o Cliente antes de o fazer, salvo se esse direito o proibir por motivos importantes de interesse público (artigo 28.º, n.º 3, alínea a), do RGPD).
3. Se considerar que uma instrução viola o RGPD ou outra norma de proteção de dados, o Prestador informa de imediato o Cliente (artigo 28.º, n.º 3, último parágrafo).
4. O Cliente garante que tem fundamento legal para os tratamentos que ordena e que informou os titulares, nomeadamente:
   • os trabalhadores fotografados (tendo em conta, quando aplicável, o artigo 28.º da Lei n.º 58/2019 e o Código do Trabalho);
   • os intervenientes na obra.

Cláusula 3.ª — Confidencialidade

As pessoas autorizadas pelo Prestador a tratar Dados do Cliente estão sujeitas a dever de confidencialidade. A equipa do Prestador não acede ao conteúdo dos Dados do Cliente, exceto quando:

• um administrador do Cliente ativa o acesso de suporte, por tempo limitado e com registo na auditoria; ou
• a lei o exija.

Cláusula 4.ª — Segurança (artigo 32.º)

O Prestador aplica as medidas técnicas e organizativas do Anexo II e pode atualizá-las, desde que o nível de segurança não diminua.

Cláusula 5.ª — Subcontratantes ulteriores

1. O Cliente dá autorização geral ao recurso a subcontratantes ulteriores e autoriza os identificados no Anexo III, publicado e mantido atualizado em https://app.poliedrosalgado.com/subcontratacao/.
2. O Prestador avisa o Cliente, com pelo menos 30 dias de antecedência, de qualquer adição ou substituição. O aviso é feito por email aos administradores e na app.
3. O Cliente pode opor-se, com fundamento razoável, dentro desse prazo. Nesse caso, o Prestador procura uma alternativa razoável. Se não houver, o Cliente pode resolver o contrato antes da entrada em funções do novo subcontratante, sem penalização e com reembolso da parte do preço paga e correspondente ao período não prestado.
4. O Prestador impõe aos subcontratantes ulteriores, por contrato, obrigações de proteção de dados equivalentes às deste Acordo. Continua responsável perante o Cliente pelo cumprimento dessas obrigações.

Cláusula 6.ª — Transferências internacionais

1. Os Dados do Cliente são alojados na UE, em Nuremberga, Alemanha.
2. Quando um Utilizador usa as funcionalidades de IA, os dados desse pedido são tratados pela OpenAI, que pode tratá-los nos EUA. Essa transferência faz-se com as garantias do capítulo V do RGPD:
   • EU-U.S. Data Privacy Framework, quando aplicável; ou
   • cláusulas contratuais-tipo da Comissão Europeia.
3. Qualquer outra transferência para fora do EEE só ocorre com essas garantias e com o aviso da cláusula 5.ª.

Cláusula 7.ª — Pedidos de autoridades

Se receber um pedido de uma autoridade para aceder a Dados do Cliente, o Prestador verifica a sua legalidade, limita a resposta ao estritamente exigido e informa o Cliente antes de responder, salvo se a lei o proibir. Os pedidos de autoridades de países terceiros só são satisfeitos com fundamento no direito da União ou de Portugal.

Cláusula 8.ª — Assistência ao Cliente

O Prestador ajuda o Cliente, sem custos adicionais salvo em pedidos manifestamente excessivos:

1. a responder aos pedidos dos titulares (artigos 12.º a 22.º), através das funcionalidades de exportação, retificação e eliminação e, se necessário, por pedido escrito;
2. a cumprir os artigos 32.º a 36.º (segurança, notificação de violações, avaliações de impacto, consulta prévia), tendo em conta a natureza do tratamento e a informação de que dispõe.

Cláusula 9.ª — Violações de dados

O Prestador notifica o Cliente sem demora injustificada e, se possível, no prazo de 48 horas depois de ter conhecimento de uma violação de Dados do Cliente. A notificação inclui a informação do artigo 33.º, n.º 3, de que disponha, e é completada à medida que houver mais informação.

Cláusula 10.ª — Fim do tratamento

1. No fim do contrato, o Cliente pode exportar os Dados do Cliente durante 90 dias (devolução, nos termos do artigo 28.º, n.º 3, alínea g), do RGPD).
2. O Prestador avisa os administradores por email pelo menos 14 dias antes. Depois desse prazo, o Prestador elimina-os, destruindo a chave de cifra da Organização e os ficheiros. As cópias de segurança são eliminadas pela rotação de 14 dias.
3. Ficam ressalvados os dados que o direito da União ou de Portugal obrigue a conservar.
4. A pedido do Cliente, o Prestador confirma a eliminação por escrito.

Cláusula 11.ª — Demonstração do cumprimento e auditorias

1. O Prestador disponibiliza ao Cliente a informação necessária para demonstrar o cumprimento do artigo 28.º e mantém o registo das atividades de tratamento do artigo 30.º, n.º 2.
2. O Prestador aceita auditorias e inspeções razoáveis, pelo Cliente ou por auditor por ele mandatado, nas seguintes condições:
   • pré-aviso de 30 dias;
   • no máximo uma por ano, salvo violação de dados ou exigência de autoridade;
   • a cargo do Cliente;
   • com dever de confidencialidade.
3. O Prestador coopera com a autoridade de controlo (artigo 31.º do RGPD).

Cláusula 12.ª — Responsabilidade

1. A responsabilidade das partes perante os titulares dos dados rege-se pelo artigo 82.º do RGPD.
2. Entre as partes, aplicam-se as regras de responsabilidade dos Termos, com as ressalvas aí previstas.
3. Em caso de contradição entre este Acordo e os Termos quanto à proteção de dados, prevalece este Acordo.

Anexo I — Descrição do tratamento

• Titulares:
  • Utilizadores do Cliente;
  • representantes e técnicos do dono de obra, do empreiteiro, dos projetistas e de outras entidades;
  • trabalhadores e outras pessoas que apareçam em fotografias, registos, notas de voz ou documentos.
• Categorias de dados:
  • identificação e contacto (nome, função, entidade, email, telefone);
  • registos profissionais (visitas, ocorrências, não conformidades, autos, correspondência, decisões);
  • imagens (fotografias de obra, que podem mostrar pessoas e matrículas);
  • voz (notas de voz para transcrição);
  • documentos e desenhos.
• Categorias especiais: o Serviço não se destina a categorias especiais de dados (artigo 9.º) nem a dados de condenações penais (artigo 10.º). O Cliente não os deve registar, salvo se for estritamente necessário e houver fundamento legal (por exemplo, registo de um acidente de trabalho).
• Natureza e finalidade: armazenamento cifrado, sincronização entre dispositivos e utilizadores da Organização, conversão de ficheiros, funcionalidades de IA acionadas pelos Utilizadores, notificações por email, cópia de segurança, exportação, eliminação e suporte.
• Duração: a do contrato, mais o prazo da cláusula 10.ª.

Anexo II — Medidas técnicas e organizativas

1. Cifra em trânsito (HTTPS/TLS, HSTS) e em repouso (AES-256-GCM). Cada organização tem uma chave de dados, protegida por uma chave mestra guardada fora da base de dados.
2. Isolamento lógico entre organizações, verificado em cada pedido e por testes automáticos.
3. Controlo de acessos por papel (Administrador, Fiscal, Consulta, Dono de obra) e por obra.
4. Senhas com hash scrypt, requisitos mínimos, limites de tentativas e bloqueio temporário.
5. Sessões em cookie HttpOnly/Secure/SameSite=Strict, com expiração. Proteção CSRF e Content-Security-Policy restritiva.
6. Registo de auditoria das ações relevantes, com IP truncado.
7. Cópias de segurança cifradas diárias, com verificação de integridade, conservadas 14 dias.
8. Serviço executado com utilizador de sistema dedicado e isolamento systemd, conversões de ficheiros em processos com limites de memória e tempo, e atualizações de segurança.
9. Menor privilégio: a administração da plataforma vê apenas metadados (nome da organização, plano, utilização).
10. Medidas previstas: autenticação de dois fatores, cópia de segurança fora do servidor principal e plano de resposta a incidentes documentado.

Anexo III — Subcontratantes ulteriores autorizados

Os prestadores de pagamentos e de faturação (Stripe, Google Play, InvoiceXpress) não tratam Dados do Cliente; tratam apenas dados de faturação, de que o Prestador é responsável (Política de Privacidade, secção 5).