Política de Privacidade

Esta política explica que dados pessoais passam pelo ACCGES, quem responde por cada um, para que servem, com quem são partilhados, quanto tempo ficam e como pode exercer os seus direitos. Aplica-se às páginas públicas (entrada, planos, subscrição e demonstração), às áreas da equipa, do cliente e do colaborador, e à aplicação móvel e de computador.

O texto segue o Regulamento (UE) 2016/679 (RGPD) e a Lei n.º 58/2019, de 8 de agosto.

Quem responde pelos seus dados

O ACCGES é fornecido por:

Para qualquer assunto de privacidade, escreva para santana@accountservice.pt.

Dois papéis diferentes: responsável e subcontratante

O ACCGES é uma plataforma usada por gabinetes e empresas, cada um com a sua licença. Por isso, o papel da empresa muda consoante os dados:

Se é cliente de um gabinete, ou colaborador de uma empresa que usa o ACCGES, quem responde pelos seus dados é esse gabinete ou essa empresa. É a eles que deve dirigir-se em primeiro lugar. Se nos escrever, encaminhamos o pedido.

Quando somos responsáveis: que dados, para quê e com que fundamento

O que as licenças guardam no ACCGES

Consoante os módulos que cada gabinete ou empresa ativa, a plataforma pode guardar:

• Clientes e fiscalidade: nome, NIF, NISS, morada, contactos, representantes, dados de IRS e de dependentes, faturas, declarações e dossiers. As credenciais dos portais das Finanças e da Segurança Social ficam cifradas.
• Recursos humanos: identificação, NIF, NISS, documento, data de nascimento, género, estado civil, nacionalidade, morada, IBAN, salário, contrato, férias e faltas, contacto de emergência, número de dependentes e fotografia.
• Saúde e segurança no trabalho: exames de aptidão (tipo, resultado, restrições e médico, cifrados, sem informação clínica) e acidentes de trabalho, incluindo a gravidade e certificados de incapacidade temporária. São categorias especiais de dados (RGPD, art. 9.º).
• Ponto e localização: ver a secção seguinte.
• Documentos: os ficheiros carregados, guardados cifrados, e o texto que deles se extrai.
• Email: as contas ligadas pela própria pessoa ou pela equipa, com cópia cifrada do assunto, dos destinatários e do corpo das mensagens. Os emails enviados pelo sistema podem levar um sinal de abertura e contar cliques.
• Conversas: mensagens e anexos entre utilizadores, cifrados. As conversas com o assistente ficam até serem apagadas, ou até ao prazo indicado em «Durante quanto tempo».
• Assinaturas eletrónicas: nome, conta, email, qualidade, data, IP, aparelho, canal e resumo criptográfico do documento e da assinatura, que servem de prova e não se apagam.
• Prevenção do branqueamento de capitais: beneficiários efetivos, pessoas politicamente expostas, listas de medidas restritivas e grau de risco.
• Recrutamento: nome, email, telefone, localidade, currículo, mensagem e notas dos candidatos, cifrados, com o consentimento registado e a respetiva data.
• Contactos comerciais: interessados e decisores que a licença gere. Veja «Contactos encontrados pela prospeção».

O ACCGES não usa reconhecimento facial nem guarda dados biométricos. O desbloqueio por rosto ou impressão digital na aplicação é feito pelo próprio aparelho, e a aplicação só recebe a resposta sim ou não.

Ponto e localização

É o empregador que decide se usa estas funções, e é a ele que cabe ter fundamento para isso e informar quem trabalha consigo (Código do Trabalho, art. 20.º e seguintes; Lei n.º 58/2019, art. 28.º).

• Marcação de ponto: cada marcação pode guardar uma leitura da localização e o endereço IP de origem, para confirmar onde foi feita. É uma leitura só, no momento da marcação. Na aplicação, as coordenadas seguem para o serviço Nominatim, do OpenStreetMap, para mostrar a morada aproximada. No ponto dos funcionários internos guarda-se só o endereço IP. A localização e o endereço IP saem ao fim do prazo indicado em «Durante quanto tempo», e a marcação fica até ao prazo dela.
• Localização da Equipa: só funciona com o módulo ativo, com a partilha ligada e depois de o colaborador confirmar o aviso, e só dentro do período de serviço. A aplicação envia a posição enquanto o colaborador está em serviço, também em segundo plano, com um aviso visível no aparelho; nas pausas não envia. Guarda-se apenas a última posição, sem histórico. Sai logo que a partilha é desligada e, fora do serviço, no acesso seguinte. Vê-a a empresa e o gabinete que a acompanha.

Inteligência artificial

Algumas funções usam modelos de inteligência artificial para ler documentos, sugerir rascunhos, redigir anúncios ou responder a perguntas. Quando conversa com o AccountAI, está a falar com um sistema de inteligência artificial, e cada resposta indica se veio do modelo local ou de um modelo externo.

• Primeiro o modelo local: o pedido vai ao modelo instalado no servidor da empresa, que não envia nada para fora.
• Só local: atas, rascunhos de email, inspeções, fornecedores e a geração de imagens da Marcenaria.
• Local e, se falhar, o serviço externo OpenRouter: leitura de documentos, IRS, despesas, fichas de RH, certificados de segurança no trabalho, orçamentos, Marcenaria, faturas de stocks e de empreitadas, abastecimentos e anúncios de emprego. Nestes casos pode seguir a imagem do documento ou o seu texto, e isso pode incluir dados pessoais. A empresa pode ligar ou desligar este recurso, uso a uso, para todas as licenças.
• AccountAI: o serviço externo vem desligado. Mesmo ligado, uma pergunta que leve dados de clientes só sai com uma opção própria, ativada de propósito.
• Prospeção comercial: usa apenas o serviço externo e envia os termos de pesquisa.

O OpenRouter é usado sempre pelos seus servidores europeus (eu.openrouter.ai). O pedido e a resposta são tratados na Europa (União Europeia, Espaço Económico Europeu, Reino Unido e Suíça) e seguem apenas para o fornecedor do modelo escolhido nas Definições com servidores nessas regiões, sem recurso a nenhum fornecedor de fora. Nestes servidores, o OpenRouter não guarda o conteúdo dos pedidos nem das respostas. Os dados da conta da empresa junto do OpenRouter, a faturação, a autenticação e os registos de segurança e de funcionamento podem ser tratados nos Estados Unidos da América, sem o conteúdo dos pedidos e das respostas. Os pedidos que podem levar dados pessoais só seguem para fornecedores que não guardam nem treinam com eles. O que a inteligência artificial produz é uma ajuda e deve ser confirmado por uma pessoa.

Não há decisões exclusivamente automatizadas com efeitos jurídicos sobre as pessoas (RGPD, art. 22.º). No recrutamento, a inteligência artificial só redige anúncios: não classifica nem ordena candidatos. O grau de risco na prevenção do branqueamento é calculado por regras fixas, e o responsável pode alterá-lo com justificação, dentro do que a lei permite.

Contactos encontrados pela prospeção

As ferramentas de prospeção procuram empresas e os seus decisores com a ajuda de inteligência artificial, em informação disponível na internet. Essas pessoas não nos deram os dados, por isso:

• O que se guarda: nome, cargo, empresa e contactos profissionais. Não se pede nem se guarda o email pessoal, e um endereço de correio gratuito é descartado.
• O aviso: quem usa a prospeção envia à pessoa, por um botão, a informação do art. 14.º do RGPD: quem tem os dados, de onde vieram, para quê e como se pode opor. Quem não recebe o aviso em 30 dias sai da lista, e as campanhas não levam quem não foi avisado.
• A oposição: o aviso traz uma ligação para sair da lista. A pessoa sai, sai também da Brevo, e a pesquisa seguinte já não a traz: fica apenas um valor que permite reconhecer o email ou a pessoa, sem os revelar.
• Quem responde: a licença que fez a pesquisa, nas pesquisas dela; a empresa, nas suas.

Contas de email ligadas (Google e Microsoft)

Qualquer pessoa autorizada pode ligar uma conta de email ao ACCGES para a ver e usar dentro do sistema. Esta secção explica o que acontece aos dados dessa conta. Antes de a ligar, a pessoa lê um resumo destas regras na página ou na aplicação e aceita-o, e a aceitação fica guardada.

The use of information received from Google Workspace scopes will adhere to the Google User Data Policy, including the Limited Use requirements. Em português: o uso da informação recebida da Google segue a Política de Dados dos Utilizadores da Google, incluindo os requisitos de utilização limitada.

O que a autorização permite

• Google: acesso completo ao correio da conta (https://mail.google.com/), ao endereço e ao nome do perfil (email e profile).
• Microsoft: leitura e gestão do correio por IMAP, envio por SMTP, endereço e nome do perfil.

Com esta autorização, a palavra-passe da conta não é pedida nem guardada. As credenciais de acesso que a Google ou a Microsoft entregam ficam cifradas e renovam-se sozinhas. Também se pode ligar uma conta com uma palavra-passe de aplicação, em vez desta autorização.

Para que serve

Para ler, procurar, organizar, responder e enviar correio nos ecrãs do ACCGES, ligar mensagens à ficha de um cliente, preparar rascunhos e avisar de mensagens novas. Um rascunho nunca é enviado sem ser por uma pessoa. Estes dados não são usados para publicidade nem para perfis comerciais, não são vendidos e não seguem para a Brevo, para a Meta nem para as ferramentas de prospeção. O ACCGES não treina modelos de inteligência artificial com eles.

O que fica guardado

• Uma cópia na base de dados, com os cabeçalhos das mensagens dos últimos meses que a pessoa escolher, e o corpo das que alguém abre ou que o sistema lê para uma função acima. Nas contas Google e Microsoft escolhe-se entre 3 e 36 meses, e são 12 por omissão. O correio mais antigo sai da cópia e continua na conta.
• O lixo e o correio indesejado não são copiados, nem as vistas do Gmail, como «Todo o correio».
• O que se apaga diretamente no Gmail ou no Outlook sai da cópia em cerca de 15 minutos, se a conta estiver ativa.
• Ficam cifrados o assunto, o nome do remetente, os destinatários, o resumo e o corpo. Não ficam cifrados o endereço do remetente, os identificadores técnicos, as datas, os nomes das pastas e os nomes dos anexos.
• Os anexos recebidos não são guardados: vêm do servidor de correio cada vez que são abertos. Os que se juntam a um email ficam no servidor até o email seguir ou o anexo ser retirado, e os que ninguém chegou a usar saem ao fim de 30 dias.

Para onde podem ir

• Modelo local: os rascunhos e a identificação de clientes mencionados são feitos no servidor da empresa e não saem de lá.
• Notificações: nas contas pessoais, o remetente, o assunto, a pasta e a conta seguem pela Google (Firebase) e pela Apple até ao telemóvel do dono. Nunca o corpo. Sem a opção «Mostrar o texto da mensagem», segue só o remetente.
• AccountAI: a equipa pode pedir-lhe que procure e leia o correio a que tem acesso, e isso é tratado no modelo local. As mensagens só chegam ao OpenRouter se alguém ligar as duas opções, que vêm desligadas: o serviço externo do AccountAI e o seu uso com dados de clientes. Nesse caso segue o histórico da conversa, que pode citar emails, pelos servidores europeus do OpenRouter, e o pedido só vai para fornecedores na Europa que não guardam nem treinam com os dados (data_collection: deny).
• Assistente Claude, da Anthropic: só para a equipa da empresa que fornece o ACCGES, com as permissões próprias, e nunca nas caixas das outras licenças. A pedido de quem o usa, pode procurar e ler o remetente, o assunto, os destinatários, o corpo (até 40 000 caracteres por conversa) e os nomes dos anexos, nunca o conteúdo destes, e preparar rascunhos, que não envia. Cada leitura fica registada.
• Ficheiros carregados à mão: um email exportado ou um anexo que alguém carregue em Orçamentos, Documentos ou Faturas segue as regras desse uso, e pode ir ao OpenRouter se o modelo local falhar. Veja «Inteligência artificial».

Uma conta Google ou Microsoft sem a aceitação de quem a ligou, ou desligada, não segue para as notificações nem para os assistentes. O que segue para um fornecedor externo fica também sujeito às condições dele.

Quem consegue ler

• Conta pessoal: só o dono. Nem os colegas, nem o administrador da licença, nem o administrador global da empresa que fornece o ACCGES a abrem por terem esse cargo.
• Conta partilhada: quem, nessa licença, tenha a permissão «Caixa de Correio».
• Com autorização do titular: o dono pode autorizar um colega ou a equipa de suporte, com o motivo escrito e por um prazo de 1, 7 ou 30 dias. Essa autorização só dá para ler, e o dono pode retirá-la a qualquer momento.
• Por segurança ou por obrigação legal: só o administrador global, com o motivo escrito, só para ler e no máximo por 72 horas. O titular vê-o na conta dele, em «Quem acede».
• Suporte: a equipa da empresa, ao entrar numa licença como o administrador dela, só abre as contas pessoais e as partilhadas ligadas por autorização nas condições acima. As partilhadas de servidor próprio abrem-se para prestar suporte. A entrada fica registada, e a licença não é avisada automaticamente.
• Registo: cada abertura de uma mensagem ou de um anexo, na página, na aplicação ou pelo assistente, fica registada com quem a fez e com que fundamento, durante 24 meses. Quem responde pela conta vê-o em «Quem acede».
• Rascunhos: os assuntos que entram no contexto de um rascunho vêm da conta para que se escreve e das contas partilhadas, nunca da caixa pessoal de outra pessoa.

Como desligar e apagar

• Em Contas de Email, Desligar revoga a autorização na Google, apaga as credenciais e para todos os acessos. A cópia fica até a pessoa a eliminar, com os mesmos prazos.
• Eliminar revoga a autorização e apaga a cópia das mensagens, as pastas, os rascunhos, os dossiês que serviram para os preparar, os anexos guardados, os movimentos da arrumação e os avisos.
• Se a Google não confirmar a revogação, o sistema avisa e volta a tentar sozinho, durante vários dias. Na Microsoft, a autorização retira-se na própria conta Microsoft.
• Pode retirar a autorização a qualquer momento nas definições da sua conta: em myaccount.google.com/permissions na Google, em account.live.com/consent/Manage nas contas pessoais da Microsoft ou em myapplications.microsoft.com nas contas de empresa.
• Desativar a conta, sem a desligar, para todos os acessos ao servidor de correio, incluindo a leitura a pedido, e mantém a autorização e a cópia, que fica visível só com o que já lá está.
• Depois de eliminar a conta ficam, sem o conteúdo do correio, o registo de quem abriu, a prova da aceitação e os registos de atividade. As conversas com o assistente são de quem as teve, podem citar emails e apagam-se à parte. Para apagar o resto, escreva para santana@accountservice.pt, ou para o gabinete ou a empresa que gere a sua conta.

A aplicação móvel e de computador

A aplicação só pede as permissões de que cada função precisa, e pode recusá-las nas definições do aparelho:

• Localização: ponto e Localização da Equipa.
• Câmara e galeria: ler códigos e tirar ou escolher fotografias que o próprio envia (faturas, perfil, frota, apoios, subempreiteiros, produção).
• Notificações: avisos de conversas e de email.
• Rosto ou impressão digital: bloqueio da aplicação, tratado pelo aparelho.

A sessão fica guardada no armazenamento seguro do sistema (cofre do Android, Keychain ou proteção do Windows), e a palavra-passe não é guardada. Ao entrar, a aplicação envia ao servidor o identificador e o nome do aparelho, a plataforma e a versão. Não usa ferramentas de analítica, de relatórios de erros nem de publicidade de terceiros. O que fica no aparelho está descrito na Política de Cookies.

Com quem são partilhados

Os dados só seguem para terceiros quando uma função precisa deles, e nunca são vendidos. Os destinatários são, por categorias:

• Entidades públicas: Autoridade Tributária e Segurança Social, por instrução de quem usa a função, e outras autoridades quando a lei o exija.
• Pagamentos: ifthenpay.
• Inteligência artificial: OpenRouter e o fornecedor do modelo, nas condições acima, e o assistente Claude, da Anthropic, nas condições da secção «Contas de email ligadas».
• Comunicações: Google (Firebase) e Apple, para as notificações; Google e Microsoft, nas contas de email que alguém decida ligar; o servidor de correio configurado; Brevo, para listas e envios de marketing; Calendly, para reuniões.
• Medição de campanhas: Meta, só com a sua aceitação.
• Serviços de apoio: OpenStreetMap (mapas), YouTube (vídeos da biblioteca), consultas públicas por NIF (VIES, nif.pt e ptdata.org), portais de emprego (só os dados da vaga, nunca os dos candidatos) e redes de distribuição de conteúdos, que recebem o endereço IP de quem abre a página.

A lista completa, com o que cada um recebe, está no Anexo B do Acordo de Tratamento de Dados.

A equipa da empresa pode aceder a uma licença para prestar suporte. Esse acesso fica registado e, na aplicação, termina ao fim de uma hora.

Transferências para fora do Espaço Económico Europeu

Alguns destes serviços têm sede ou tratam dados fora do Espaço Económico Europeu, nomeadamente nos Estados Unidos da América (RGPD, capítulo V). Nesses casos, a transferência assenta numa decisão de adequação, como o Quadro de Privacidade de Dados UE-EUA para as entidades certificadas, ou nas cláusulas contratuais-tipo aprovadas pela Comissão Europeia. O conteúdo dos pedidos ao OpenRouter fica na União Europeia, no Espaço Económico Europeu, no Reino Unido ou na Suíça, e estes dois últimos países têm decisões de adequação da Comissão Europeia. Pode pedir informação sobre as garantias aplicáveis através de santana@accountservice.pt.

Durante quanto tempo

A limpeza automática destes prazos ainda está a ser preparada: até estar ligada, os dados podem ficar mais tempo. Pode pedir o apagamento a qualquer momento. Os prazos nunca descem do que a lei obriga a guardar, e a faturação, o processo de prevenção do branqueamento e as provas de assinatura ficam de fora desta limpeza.

Como os dados são protegidos

O ACCGES corre num servidor dedicado gerido pela empresa. As medidas aplicadas são:

• ligação sempre cifrada (HTTPS) entre o navegador ou a aplicação e o servidor;
• cifra das credenciais, dos ficheiros guardados e de vários campos sensíveis, com uma chave mantida à parte;
• isolamento dos dados de cada licença e permissões por pessoa, com leitura e edição separadas;
• fim da sessão por inatividade, verificação contra acessos automáticos e bloqueio após tentativas falhadas;
• registo das ações feitas sobre os dados dos clientes, com os detalhes cifrados;
• cópias de segurança.

Nenhum sistema é infalível. Se ocorrer uma violação de dados com risco para os titulares, a empresa cumpre o dever de notificar a autoridade e, quando exigido, as pessoas afetadas (RGPD, art. 33.º e 34.º), ou avisa sem demora o titular da licença quando os dados forem dele.

Os seus direitos

Tem direito a aceder aos seus dados, a corrigi-los, a pedir o apagamento ou a limitação do tratamento, a opor-se, a receber os dados que forneceu num formato de uso corrente e a retirar um consentimento a qualquer momento, sem afetar o que foi feito antes (RGPD, art. 15.º a 22.º).

• Com uma conta: em Os Meus Dados, na página e na aplicação, pode descarregar uma cópia dos seus dados em formato de uso corrente e apagar a sua conta. Veja Apagar a conta.
• Sem conta, ou para outros direitos: escreva para santana@accountservice.pt, ou para o gabinete ou a empresa que gere os seus dados. Podemos pedir que confirme a sua identidade.

Respondemos no prazo de um mês, que pode ser prorrogado em casos complexos (RGPD, art. 12.º). Alguns dados têm de ser mantidos por obrigação legal, mesmo que peça o apagamento: nesse caso dizemos-lhe quais, porquê e até quando.

Pode apresentar queixa à CNPD — Comissão Nacional de Proteção de Dados, Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, www.cnpd.pt.

Crianças

O ACCGES destina-se a profissionais e a empresas e não é dirigido a crianças. Dados de menores só entram por iniciativa de quem gere uma licença, por exemplo como dependentes numa declaração de IRS.

Alterações a esta política

Quando esta política mudar, a data no topo da página muda com ela. Se a alteração afetar os seus direitos de forma significativa, avisamos pelos meios habituais.