1. Responsável pelo Tratamento
A entidade responsável pelo tratamento dos dados pessoais recolhidos através da plataforma kaptto é a kaptto, Lda., com sede em Portugal. Para qualquer questão relacionada com protecção de dados, pode contactar-nos através do email: privacidade@kaptto.pt
2. Dados Recolhidos
No âmbito da utilização da plataforma, podemos recolher os seguintes dados pessoais:
- Utilizadores da plataforma: nome, email, telefone, cargo, dados de autenticação, endereço IP e dados de utilização.
- Clientes avaliadores: nome (quando fornecido), email, telefone, avaliação numérica, comentário, data e hora da avaliação, dados do dispositivo.
- Dados de empresas: denominação social, logótipo, morada, contactos, dados de facturação.
- Dados do Google Business Profile: quando o utilizador conecta voluntariamente a sua conta Google, acedemos ao nome da conta, localizações do negócio, avaliações publicadas por clientes (incluindo nome do autor, classificação e comentário), e à possibilidade de publicar respostas em nome do proprietário. Estes dados são obtidos através do scope https://www.googleapis.com/auth/business.manage da API Google Business Profile.
3. Finalidade do Tratamento
Os dados pessoais são tratados para as seguintes finalidades:
- Prestação e gestão do serviço de recolha de avaliações;
- Identificação do vencedor e entrega de prémios de sorteio, quando o cliente opte por deixar o seu contacto;
- Análise estatística e geração de relatórios de satisfação;
- Comunicação de suporte e notificações operacionais;
- Importação e gestão centralizada de avaliações do Google Business Profile, incluindo a possibilidade de responder a avaliações directamente a partir da plataforma;
- Cumprimento de obrigações legais e regulamentares.
4. Base Legal
O tratamento dos dados pessoais fundamenta-se nas seguintes bases legais, nos termos do artigo 6.º do RGPD:
- Consentimento: para a recolha de dados de contacto dos clientes avaliadores e para a identificação e entrega de prémios de sorteio;
- Execução do contrato: para a prestação do serviço aos utilizadores registados;
- Interesse legítimo: para a melhoria do serviço e análise de utilização;
- Obrigação legal: para o cumprimento de requisitos legais e fiscais.
4b. Integração com o Google Business Profile
A plataforma kaptto permite aos utilizadores conectar voluntariamente a sua conta Google para integrar dados do Google Business Profile. Esta integração utiliza o protocolo OAuth 2.0 e requer o consentimento explícito do utilizador.
Scope utilizado: https://www.googleapis.com/auth/business.manage
Dados acedidos e finalidades:
- Contas e localizações: listagem das contas e localizações do negócio para selecção pelo utilizador;
- Avaliações: importação de avaliações do Google (nome do autor, classificação, comentário, data) para visualização centralizada no dashboard;
- Respostas: publicação de respostas a avaliações em nome do proprietário da localização.
Armazenamento de tokens: os tokens de acesso OAuth são encriptados com AES-256-GCM antes do armazenamento e nunca são partilhados com terceiros. Os tokens podem ser revogados a qualquer momento pelo utilizador nas definições da plataforma.
Revogação: o utilizador pode desconectar a conta Google a qualquer momento, o que revoga imediatamente o acesso da plataforma aos dados do Google Business Profile. A desactivação de uma localização também desconecta automaticamente a conta Google associada.
5. Partilha de Dados
Os dados pessoais não são vendidos a terceiros. Podem ser partilhados com: (a) sub-processadores essenciais ao funcionamento da plataforma (ver secção 5.1), mediante acordos de tratamento de dados; (b) a empresa contratante, no que respeita às avaliações dos seus clientes; (c) autoridades competentes, quando exigido por lei. Todos os sub-processadores estão vinculados por obrigações de confidencialidade e protecção de dados (artigo 28.º do RGPD).
5.1. Sub-processadores
A kaptto recorre aos seguintes prestadores para o funcionamento do serviço. Todos foram avaliados quanto a conformidade GDPR e garantias de segurança. As transferências para fora do Espaço Económico Europeu são feitas ao abrigo das Cláusulas Contratuais Padrão (SCC) aprovadas pela Comissão Europeia.
- Vercel Inc. (EUA) — Hosting da aplicação e CDN. Transferência sob SCC.
- Neon Tech Inc. (servidores na UE — Frankfurt) — Base de dados PostgreSQL gerida.
- Resend Inc. (EUA; região de envio configurada na UE — Irlanda) — Envio de emails transaccionais (convites, recuperação de palavra-passe, códigos de acesso, alertas e relatórios). Transferência sob SCC.
- Anthropic PBC (EUA) — Análise de avaliações e geração de respostas via Claude (modelo Haiku 4.5). Transferência sob SCC. Os dados enviados não são usados para treinar modelos.
- Google LLC (EUA) — Google Business Profile API (importação de avaliações públicas e publicação de respostas). Apenas activado se o utilizador conectar a sua conta Google.
- Functional Software Inc. (Sentry) (EUA; região de armazenamento configurada na UE) — Monitorização técnica de erros e de desempenho. Transferência sob SCC. Filtros aplicados para remover dados pessoais antes do envio.
- Upstash Inc. (servidores na UE) — Cache temporário para limites de utilização (rate limiting). Sem dados pessoais identificáveis.
Esta lista está actualizada a Setembro de 2026. Alterações materiais serão comunicadas com 30 dias de antecedência por email aos utilizadores.
6. Retenção de Dados
Os dados pessoais são conservados enquanto forem necessários às finalidades para que foram recolhidos. As contas de utilizador e as avaliações recolhidas são conservadas enquanto o serviço estiver contratado pela empresa cliente. Há dados com prazo próprio, apagados automaticamente: as ligações de recuperação de palavra-passe e os convites por aceitar, quando expiram; os códigos de acesso, findos os 10 minutos de validade; os códigos de prémio expirados e não resgatados, ao fim de 6 meses; os registos técnicos de execução e das chamadas à API, ao fim de 90 dias. A empresa cliente pode pedir a qualquer momento a eliminação dos seus dados e dos dados dos seus clientes avaliadores, através do email indicado na secção de Contacto; o pedido é executado no prazo de 30 dias, salvo obrigação legal de conservação.
7. Direitos dos Titulares
Nos termos do RGPD, os titulares dos dados têm os seguintes direitos:
- Direito de acesso: obter confirmação e cópia dos dados pessoais tratados (artigo 15.º);
- Direito de rectificação: solicitar a correcção de dados inexactos ou incompletos (artigo 16.º);
- Direito ao apagamento: solicitar a eliminação dos dados pessoais, quando aplicável (artigo 17.º);
- Direito à portabilidade: receber os dados pessoais num formato estruturado e de leitura automática (artigo 20.º);
- Direito de oposição: opor-se ao tratamento dos dados em determinadas circunstâncias (artigo 21.º);
- Direito à limitação do tratamento: solicitar a restrição do tratamento dos dados (artigo 18.º).
Para exercer qualquer um destes direitos, contacte-nos através do email privacidade@kaptto.pt
8. Cookies
A plataforma utiliza cookies estritamente necessários ao funcionamento do serviço (autenticação e sessão). Não são utilizados cookies de rastreamento publicitário nem de análise. O utilizador pode configurar o seu navegador para recusar cookies, embora tal possa afectar o funcionamento da plataforma.
9. Segurança
Implementamos medidas técnicas e organizacionais adequadas para proteger os dados pessoais contra acesso não autorizado, perda, destruição ou alteração. Estas medidas incluem encriptação de dados em trânsito (TLS), encriptação de tokens OAuth com AES-256-GCM, hash seguro de palavras-passe (bcrypt), controlo de acessos baseado em funções e auditorias regulares de segurança.
10. Alterações
A presente Política de Privacidade pode ser actualizada periodicamente. Quaisquer alterações significativas serão comunicadas aos utilizadores por email ou através de notificação na plataforma, com uma antecedência mínima de 15 dias.
11. Contacto
Para quaisquer questões relacionadas com esta Política de Privacidade ou com o tratamento dos seus dados pessoais, contacte-nos através de: privacidade@kaptto.pt
Tem também o direito de apresentar reclamação junto da Comissão Nacional de Protecção de Dados (CNPD) — .www.cnpd.pt