1. Responsável pelo Tratamento
A entidade responsável pelo tratamento dos dados pessoais coletados através da plataforma kaptto é a kaptto, Lda., com sede em Portugal. Para qualquer questão relacionada com proteção de dados, pode entrar em contato através do email: privacidade@kaptto.pt
2. Dados Coletados
No âmbito da utilização da plataforma, podemos coletar os seguintes dados pessoais:
- Usuários da plataforma: nome, email, telefone, cargo, dados de autenticação, endereço IP e dados de utilização.
- Clientes avaliadores: nome (quando fornecido), email, telefone, avaliação numérica, comentário, data e hora da avaliação, dados do dispositivo.
- Dados de empresas: denominação social, logotipo, endereço, contatos, dados de faturamento.
- Dados do Google Business Profile: quando o usuário conecta voluntariamente sua conta Google, acessamos o nome da conta, localizações do negócio, avaliações publicadas por clientes (incluindo nome do autor, classificação e comentário), e a possibilidade de publicar respostas em nome do proprietário. Estes dados são obtidos através do scope https://www.googleapis.com/auth/business.manage da API Google Business Profile.
3. Finalidade do Tratamento
Os dados pessoais são tratados para as seguintes finalidades:
- Prestação e gestão do serviço de coleta de avaliações;
- Identificação do ganhador e entrega de prêmios de sorteio, quando o cliente opte por deixar o seu contato;
- Análise estatística e geração de relatórios de satisfação;
- Comunicação de suporte e notificações operacionais;
- Importação e gestão centralizada de avaliações do Google Business Profile, incluindo a possibilidade de responder a avaliações diretamente a partir da plataforma;
- Cumprimento de obrigações legais e regulamentares.
4. Base Legal
O tratamento dos dados pessoais fundamenta-se nas seguintes bases legais, nos termos do artigo 6.º do RGPD:
- Consentimento: para a coleta de dados de contato dos clientes avaliadores e para a identificação e entrega de prêmios de sorteio;
- Execução do contrato: para a prestação do serviço aos usuários registrados;
- Interesse legítimo: para a melhoria do serviço e análise de utilização;
- Obrigação legal: para o cumprimento de requisitos legais e fiscais.
4b. Integração com o Google Business Profile
A plataforma kaptto permite aos usuários conectar voluntariamente sua conta Google para integrar dados do Google Business Profile. Esta integração utiliza o protocolo OAuth 2.0 e requer o consentimento explícito do usuário.
Scope utilizado: https://www.googleapis.com/auth/business.manage
Dados acessados e finalidades:
- Contas e localizações: listagem das contas e localizações do negócio para seleção pelo usuário;
- Avaliações: importação de avaliações do Google (nome do autor, classificação, comentário, data) para visualização centralizada no dashboard;
- Respostas: publicação de respostas a avaliações em nome do proprietário da localização.
Armazenamento de tokens: os tokens de acesso OAuth são criptografados com AES-256-GCM antes do armazenamento e nunca são compartilhados com terceiros. Os tokens podem ser revogados a qualquer momento pelo usuário nas configurações da plataforma.
Revogação: o usuário pode desconectar sua conta Google a qualquer momento, o que revoga imediatamente o acesso da plataforma aos dados do Google Business Profile. A desativação de uma localização também desconecta automaticamente a conta Google associada.
5. Compartilhamento de Dados
Os dados pessoais não são vendidos a terceiros. Podem ser compartilhados com: (a) sub-processadores essenciais ao funcionamento da plataforma (ver seção 5.1), mediante acordos de tratamento de dados; (b) a empresa contratante, no que diz respeito às avaliações de seus clientes; (c) autoridades competentes, quando exigido por lei. Todos os sub-processadores estão vinculados por obrigações de confidencialidade e proteção de dados (artigo 28 do RGPD).
5.1. Sub-processadores
A kaptto recorre aos seguintes prestadores para o funcionamento do serviço. Todos foram avaliados quanto à conformidade RGPD e garantias de segurança. As transferências para fora do Espaço Econômico Europeu são feitas ao abrigo das Cláusulas Contratuais Padrão (SCC) aprovadas pela Comissão Europeia.
- Vercel Inc. (EUA) — Hospedagem da aplicação e CDN. Transferência sob SCC.
- Neon Tech Inc. (servidores na UE — Frankfurt) — Banco de dados PostgreSQL gerenciado.
- Resend Inc. (EUA; região de envio configurada na UE — Irlanda) — Envio de emails transacionais (convites, recuperação de senha, códigos de acesso, alertas e relatórios). Transferência sob SCC.
- Anthropic PBC (EUA) — Análise de avaliações e geração de respostas via Claude (modelo Haiku 4.5). Transferência sob SCC. Os dados enviados não são usados para treinar modelos.
- Google LLC (EUA) — Google Business Profile API (importação de avaliações públicas e publicação de respostas). Apenas ativado se o usuário conectar sua conta Google.
- Functional Software Inc. (Sentry) (EUA; região de armazenamento configurada na UE) — Monitoramento técnico de erros e de desempenho. Transferência sob SCC. Filtros aplicados para remover dados pessoais antes do envio.
- Upstash Inc. (servidores na UE) — Cache temporário para limites de utilização (rate limiting). Sem dados pessoais identificáveis.
Esta lista está atualizada a Setembro de 2026. Alterações materiais serão comunicadas com 30 dias de antecedência por email aos usuários.
6. Retenção de Dados
Os dados pessoais são conservados enquanto forem necessários às finalidades para as quais foram coletados. As contas de usuário e as avaliações coletadas são conservadas enquanto o serviço estiver contratado pela empresa cliente. Há dados com prazo próprio, apagados automaticamente: os links de recuperação de senha e os convites não aceitos, quando expiram; os códigos de acesso, após os 10 minutos de validade; os códigos de prêmio expirados e não resgatados, após 6 meses; os registros técnicos de execução e das chamadas à API, após 90 dias. A empresa cliente pode solicitar a qualquer momento a eliminação dos seus dados e dos dados dos seus clientes avaliadores, através do email indicado na seção de Contato; o pedido é executado no prazo de 30 dias, salvo obrigação legal de conservação.
7. Direitos dos Titulares
Nos termos do RGPD, os titulares dos dados têm os seguintes direitos:
- Direito de acesso: obter confirmação e cópia dos dados pessoais tratados (artigo 15.º);
- Direito de retificação: solicitar a correção de dados inexatos ou incompletos (artigo 16.º);
- Direito ao apagamento: solicitar a eliminação dos dados pessoais, quando aplicável (artigo 17.º);
- Direito à portabilidade: receber os dados pessoais em formato estruturado e de leitura automática (artigo 20.º);
- Direito de oposição: opor-se ao tratamento dos dados em determinadas circunstâncias (artigo 21.º);
- Direito à limitação do tratamento: solicitar a restrição do tratamento dos dados (artigo 18.º).
Para exercer qualquer um destes direitos, entre em contato através do email privacidade@kaptto.pt
8. Cookies
A plataforma utiliza cookies estritamente necessários ao funcionamento do serviço (autenticação e sessão). Não são utilizados cookies de rastreamento publicitário nem de análise. O usuário pode configurar seu navegador para recusar cookies, embora isso possa afetar o funcionamento da plataforma.
9. Segurança
Implementamos medidas técnicas e organizacionais adequadas para proteger os dados pessoais contra acesso não autorizado, perda, destruição ou alteração. Estas medidas incluem criptografia de dados em trânsito (TLS), criptografia de tokens OAuth com AES-256-GCM, hash seguro de senhas (bcrypt), controle de acessos baseado em funções e auditorias regulares de segurança.
10. Alterações
A presente Política de Privacidade pode ser atualizada periodicamente. Quaisquer alterações significativas serão comunicadas aos usuários por email ou através de notificação na plataforma, com uma antecedência mínima de 15 dias.
11. Contato
Para quaisquer questões relacionadas com esta Política de Privacidade ou com o tratamento de seus dados pessoais, entre em contato através de: privacidade@kaptto.pt
Você também tem o direito de apresentar reclamação junto à Comissão Nacional de Proteção de Dados (CNPD) — .www.cnpd.pt