Política de Privacidade
Última atualização: 2 de outubro de 2026
Quem somos e como contactar
A DataVigia explora esta plataforma de auditoria de segurança de dados. Para qualquer questão de privacidade ou para exercer os seus direitos, contacte privacy@datavigia.com ou use o formulário de contacto do site. A identificação completa e a morada do responsável estão disponíveis mediante pedido.
Responsável ou subcontratante, consoante os dados
Relativamente aos dados do site, da conta e da faturação, a DataVigia é a responsável pelo tratamento. Relativamente aos dados das plataformas que o cliente liga (Microsoft 365, Google Workspace, servidores locais) e aos dados dos colaboradores usados nas simulações de formação, é o cliente o responsável pelo tratamento e a DataVigia atua como subcontratante, ao abrigo do acordo de subcontratação (DPA).
Que dados tratamos
Dados de conta (nome, email), dados de faturação, mensagens do formulário de contacto, resultados das campanhas de formação (quem interagiu com os testes) e metadados de segurança das plataformas ligadas (permissões, configurações, registos de acesso, nomes de ficheiros e pastas). NÃO acedemos ao conteúdo dos ficheiros dos clientes.
Finalidades e base legal
Prestação do serviço e gestão da conta (execução do contrato, art. 6.º/1/b); faturação e cumprimento de obrigações contabilísticas e fiscais (obrigação legal, art. 6.º/1/c); segurança da plataforma e prevenção de fraude (interesse legítimo, art. 6.º/1/f); resposta a contactos comerciais (interesse legítimo ou consentimento, que pode retirar a qualquer momento). Os dados das plataformas do cliente são tratados segundo as instruções do cliente, responsável por assegurar a respetiva base legal.
Quem tem acesso e subcontratantes
O acesso interno é limitado ao pessoal estritamente necessário, sujeito a confidencialidade. Recorremos a subcontratantes vinculados por contratos de subcontratação: Supabase (base de dados e alojamento, região da União Europeia, Irlanda), Vercel (alojamento e entrega da aplicação), Anthropic (geração automática de relatórios em texto), Resend (envio de email) e as APIs da Microsoft e Google (acedidas com autorização do cliente). A lista atualizada de subcontratantes está disponível mediante pedido.
Transferências internacionais
Os dados são alojados na União Europeia (Irlanda). Alguns subcontratantes tratam dados fora do Espaço Económico Europeu, por exemplo nos Estados Unidos. Nesses casos aplicam-se salvaguardas adequadas, de acordo com o mecanismo de transferência válido à data: as Cláusulas Contratuais-Tipo da Comissão Europeia e, quando o subcontratante está certificado, a decisão de adequação do Data Privacy Framework UE-EUA. Andorra beneficia de uma decisão de adequação da União Europeia, pelo que as transferências para Andorra não exigem salvaguardas adicionais.
Prazos de conservação
Os dados de conta são conservados durante a vigência do contrato. Os dados de faturação são conservados pelos prazos legais aplicáveis (em regra, dez anos para efeitos fiscais). Os metadados de segurança e resultados de auditorias são conservados durante a relação e apagados ou devolvidos no seu termo, salvo obrigação legal. As mensagens de contacto são conservadas o tempo necessário ao seu tratamento.
Segurança
As credenciais dos conectores ficam num cofre encriptado a que só o serviço acede; cada organização está isolada das restantes (Row Level Security); aplicamos o princípio do menor privilégio, o controlo e o registo de acessos, e a minimização de dados (não recolhemos o conteúdo dos ficheiros).
Decisões automatizadas
Os relatórios são elaborados com apoio de processamento automatizado, mas destinam-se a apoiar a decisão humana. Não tomamos decisões exclusivamente automatizadas com efeitos jurídicos ou similarmente significativos sobre pessoas, na aceção do art. 22.º do RGPD.
Os seus direitos
Tem direito a aceder aos seus dados, retificá-los, apagá-los, limitar ou opor-se ao tratamento, à portabilidade e a retirar o consentimento. Respondemos, em regra, no prazo de um mês. Se os dados forem tratados por conta de um cliente (responsável pelo tratamento), encaminhamos o pedido para esse cliente.
Reclamações
Pode apresentar reclamação à autoridade de controlo do seu país: em Portugal a CNPD, em Espanha a AEPD, em França a CNIL e em Andorra a APDA (Agència Andorrana de Protecció de Dades).
Cookies e menores
Usamos apenas cookies essenciais, descritos na Política de Cookies. O serviço destina-se a empresas e não se dirige a menores de idade.
Alterações a esta política
Podemos atualizar esta política para refletir alterações legais ou do serviço. Publicamos a versão em vigor nesta página, com a respetiva data de atualização.
Verificador de Emails
No Verificador de Emails, o utilizador submete voluntariamente mensagens para analisar risco de fraude. São tratados o assunto, remetentes, cabeçalhos, corpo e anexos. Os anexos não são executados nem enviados ao fornecedor de IA; podem ser consultados hashes em serviços de reputação configurados. O corpo em texto, limitado, e os sinais técnicos podem ser enviados à Anthropic. Os ficheiros, corpos e detalhes dos relatórios são eliminados do armazenamento ativo do DataVigia após 1 a 30 dias, conforme a organização (7 dias por defeito). Os resultados e metadados mínimos permanecem para histórico. A retenção nos fornecedores de email, na IA e nos backups segue os respetivos contratos e deve ser validada pelo responsável da organização antes da ativação. Utilizadores veem as próprias verificações; administradores da organização podem ver todas. A avaliação é indicativa e não toma decisões nem elimina mensagens automaticamente.
Coletor de infraestrutura e Wi-Fi
Quando ativado e configurado pelo IT, este coletor trata nomes de equipamentos, metadados das regras OPNsense, nomes e indicadores das partilhas Synology visíveis à conta e observações Wi-Fi dos SSID autorizados (SSID, BSSID, frequência, sinal e proteção anunciada). Das outras redes só são enviadas contagens agregadas. Não há captura de tráfego. As credenciais locais dos equipamentos e a chave de associação ficam numa pasta privada na máquina do cliente, sem cifragem adicional pelo coletor; não são guardadas no cofre dos conectores cloud. O portal conserva apenas a última recolha por coletor, com eliminação programada após 30 dias sem atualização. O cliente define o âmbito, assegura a base legal e informa as pessoas afetadas. A revogação impede novos envios; pedidos de eliminação seguem o procedimento de direitos indicado nesta política.
Segurança da própria plataforma
Para proteger contas e dados, registamos tentativas de acesso recusadas, alterações de atributos de privilégio e interações com recursos de engodo sem acesso a dados reais. Os registos incluem a conta autenticada quando identificada, o tipo de ocorrência, a rota sem parâmetros, datas e uma representação pseudonimizada do IP. Não recolhemos palavras-passe, cookies ou conteúdos dos pedidos nestes registos. O acesso é reservado ao responsável da plataforma, com alertas pelo serviço de email. Conservamos estes registos por 30 dias; cópias de segurança e mensagens de alerta seguem a retenção dos respetivos serviços. Estes sinais apoiam investigação humana e não provam, por si só, uma intrusão ou a identidade de quem operou a conta.
Presença e atividade operacional
Para segurança das contas e suporte operacional, conservamos durante 30 dias o último sinal de cada ligação ao portal: conta, datas, estado visível/inativo do separador, área geral (administração, portal, perfil ou suporte), IP público, país/cidade aproximados e navegador/sistema declarados pelo dispositivo. A presença só é recolhida após autenticação com MFA; apenas o Mega Admin pode consultar a visão global. Não recolhemos GPS, texto digitado, conteúdos das páginas nem histórico de navegação. Um sinal de navegador não prova presença física; VPNs podem alterar a origem. Os agentes são associados às empresas e apresentados com as comunicações e recolhas já recebidas, sem presumir instalação no computador de um utilizador. Os registos originais de autenticação e as cópias de segurança seguem as suas políticas de retenção. O tratamento destina-se à proteção e operação do serviço, não à avaliação de produtividade.