Política de Privacidade
Última actualização: 24 de Maio de 2026 · v2
Esta política explica, em linguagem simples, que dados pessoais o DocFlow recolhe, para que os usa e como os protege. Aplica-se ao docflow.pt, à plataforma app.docflow.pt e aos endpoints API.
1. Quem somos
O responsável pelo tratamento é o DocFlow, contacto info@docflow.pt. Durante early access, dados legais completos (NIF, morada, representante) são fornecidos a pedido.
2. Duplo papel: controlador vs subcontratante
Há dois tipos diferentes de dados a considerar:
- Dados da conta do Cliente (email, nome, empresa, IP, logs de acesso) — aqui somos controlador.
- Documentos e dados pessoais contidos em documentos que o Cliente submete à plataforma (ex: NIFs de fornecedores numa factura, nome num cartão de cidadão) — aqui somos subcontratante do Cliente. O Cliente é o controlador e decide as finalidades do tratamento.
3. Que dados recolhemos
| Categoria | Dados | Finalidade |
|---|---|---|
| Conta | Email, nome, organização, password hash (via Supabase Auth) | Autenticação, suporte |
| Leads (formulário + Discovery Box) | Nome, email, empresa, mensagem livre, IP (hash SHA-256), UTM source/medium/campaign. Quando o utilizador usa o assistente IA na landing, guardamos também o output estruturado da análise (origens identificadas, sistemas actuais mencionados, volume estimado, destinos pretendidos, fit score). Se o utilizador anexar opcionalmente um documento exemplo (factura/BI/recibo, até 10 MB), guardamos o ficheiro + metadados (nome, tipo, tamanho). | Contacto comercial na sequência do pedido + preparação da proposta técnica e demo personalizada |
| Utilização | Logs de API (método, path, status, latência), audit trail por documento, etiquetas (tags) adicionadas pela equipa do Cliente para organização interna | Observabilidade, debugging, billing, organização documental do Cliente |
| Documentos | Ficheiros submetidos + JSON extraído | Prestação do serviço, conforme instruções do Cliente |
Base legal do tratamento (RGPD Art. 6):
- Conta — Art. 6.1.b: execução do contrato de prestação do Serviço.
- Leads — Art. 6.1.a: consentimento, manifestado ao submeter o formulário e — quando aplicável — ao anexar documento exemplo.
- Utilização (logs e audit) — Art. 6.1.f: interesse legítimo (observabilidade, segurança, debugging) + Art. 6.1.c: obrigação legal de auditoria.
- Documentos — Art. 6.1.b: execução do contrato + instruções do Cliente-controlador, ao abrigo do Art. 28 (subcontratação).
4. Onde estão armazenados
O núcleo da plataforma (dados em repouso) vive em infraestrutura na União Europeia:
- Base de dados (Cloudflare D1) e armazenamento de ficheiros (Cloudflare R2, S3-compatível) — região primária WEUR (Frankfurt/Lisboa).
- Filas e cache (Cloudflare Queues e KV) — mesma região.
- Autenticação delegada no Supabase — região EU.
- Extracção subcontratada ao doc2json — sub-processador com DPA em vigor, região EU.
Funcionalidades específicas usam sub-processadores complementares, alguns sedeados fora do EEE (ver lista detalhada em §6). Essas transferências internacionais estão cobertas por (a) Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia (Decisão 2021/914 — SCC) e (b) Data Privacy Framework UE-EUA (Decisão de Adequação 2023/1795), conforme aplicável a cada sub-processador.
5. Quanto tempo guardamos
- Documentos e extracções: enquanto a conta estiver activa; 30 dias após cancelamento os ficheiros em R2 e as linhas em D1 são eliminados definitivamente.
- Audit log: 24 meses (necessário para resposta a incidentes e auditoria).
- Leads: 24 meses para follow-up comercial, ou até pedido de eliminação.
- Logs técnicos: 90 dias.
6. Com quem partilhamos
Apenas com sub-processadores estritamente necessários à prestação do Serviço. Lista actualizada (Maio 2026):
| Sub-processador | Para quê | Localização | Salvaguarda transferências |
|---|---|---|---|
| Cloudflare, Inc. | Hosting, D1, R2, Queues, Workers, KV | UE (WEUR) | Não aplicável (intra-UE) |
| Supabase | Autenticação (JWT) e gestão de utilizadores | UE (Postgres região EU) | Não aplicável (intra-UE) |
| doc2json | Extracção estruturada de dados dos documentos | UE | Não aplicável (intra-UE) |
| Anthropic, PBC | Assistente IA da Discovery Box (análise da descrição do processo na landing) e classificação automática opcional de origens | EUA | SCC + DPF |
| Resend | Envio de emails transaccionais (notificações operacionais e avisos de leads) | EUA | SCC + DPF |
| Meta Platforms, Inc. | WhatsApp Business Cloud API — apenas para Clientes que configurem inbox WhatsApp | EUA / UE (Meta EU Data Center) | SCC + DPF |
| Sentry (Functional Software, Inc.) | Monitorização de erros e alertas operacionais (sem payloads de documentos) | EUA | SCC + DPF |
Compromissos contratuais com todos os sub-processadores: não usam os dados dos nossos Clientes para fins próprios, não usam documentos nem extracções para treinar modelos proprietários, e estão obrigados a notificar-nos de qualquer incidente de segurança. Nunca vendemos dados a terceiros.
Lista actualizada sempre que houver alterações. Clientes com contrato podem solicitar notificação prévia (30 dias) de novos sub-processadores via info@docflow.pt.
7. Os seus direitos (RGPD)
Enquanto titular dos dados, pode, a qualquer momento:
- Aceder aos seus dados — basta pedir por email.
- Rectificar dados incorrectos.
- Apagar a sua conta e documentos ("direito ao esquecimento").
- Exportar os seus dados em formato estruturado (JSON/CSV).
- Opor-se ao tratamento para fins de marketing.
- Apresentar queixa junto da CNPD (Comissão Nacional de Protecção de Dados) — cnpd.pt.
Para exercer qualquer destes direitos, escreva para info@docflow.pt. Respondemos no prazo máximo de 30 dias.
8. Cookies
O docflow.pt não usa cookies de tracking nem analíticas invasivas. A plataforma app.docflow.pt usa apenas cookies essenciais para manter a sessão autenticada — sem eles não é possível operar o Serviço. Quando introduzirmos analíticas, será com uma ferramenta privacy-first (ex: Plausible) sem cookies e avisado previamente aqui.
9. Segurança
- Passwords armazenadas com hash forte (delegado no Supabase).
- API keys armazenadas apenas como hash SHA-256; nunca guardamos o plaintext.
- Todas as comunicações em HTTPS (TLS 1.3).
- Credenciais de integração com ERPs e Google em campos encriptados.
- Audit log imutável de acesso e mutação.
10. Incidentes
Na eventualidade de uma violação de dados que afecte os Clientes, notificaremos os titulares e a CNPD no prazo de 72 horas após conhecimento, conforme exigido pelo RGPD.
11. Alterações
Mudanças materiais a esta política são comunicadas por email ao contacto principal da conta, com pelo menos 30 dias de antecedência.
12. Contacto
Questões sobre privacidade ou pedidos de exercício de direitos: info@docflow.pt.