Política de Privacidade

1. Responsável pelo tratamento

O responsável pelo tratamento dos dados pessoais é a PepForge, com sede em Portugal (União Europeia).

Para exercer os seus direitos ou esclarecer qualquer questão relativa ao tratamento dos seus dados, pode contactar-nos através do endereço rpad@rpad.pt.

2. Dados recolhidos

Dados de conta e identificação: endereço de correio eletrónico e, quando aplicável, identificador do Telegram e demais dados necessários à autenticação.

Dados de saúde e de acompanhamento introduzidos pelo Utilizador: peso, medidas corporais, sono, protocolos, substâncias, doses, datas de administração, biomarcadores, análises, sintomas, fotografias de progresso e outras notas. Estes dados constituem categorias especiais de dados pessoais — dados relativos à saúde, nos termos do artigo 9.º do RGPD, e beneficiam de proteção reforçada.

Dados de utilização e técnicos: informação sobre a interação com a Plataforma, registos de acesso, tipo de dispositivo e navegador, na medida necessária ao funcionamento e segurança do Serviço.

Cookies e tecnologias semelhantes: conforme descrito na Política de Cookies.

O fornecimento de dados de saúde é sempre facultativo e depende da livre iniciativa do Utilizador; sem esses dados, algumas funcionalidades de acompanhamento poderão não estar disponíveis.

3. Fundamentos jurídicos

Consentimento explícito (artigo 9.º, n.º 2, alínea a), do RGPD): o tratamento de dados de saúde introduzidos pelo Utilizador assenta no seu consentimento explícito, que pode ser retirado a qualquer momento, sem afetar a licitude do tratamento anterior.

Execução de contrato (artigo 6.º, n.º 1, alínea b), do RGPD): tratamento necessário à criação e gestão da conta, à prestação do Serviço e à gestão de subscrições e pagamentos.

Interesse legítimo (artigo 6.º, n.º 1, alínea f), do RGPD): tratamento necessário à segurança, prevenção de fraude, melhoria e bom funcionamento da Plataforma, sempre com respeito pelos direitos e liberdades do Utilizador.

Cumprimento de obrigações legais (artigo 6.º, n.º 1, alínea c), do RGPD), quando aplicável, nomeadamente em matéria fiscal e contabilística.

4. Finalidades do tratamento

Os dados são tratados para: (i) criar e gerir a conta e autenticar o Utilizador; (ii) prestar as funcionalidades de registo, cálculo e organização de protocolos; (iii) permitir o acompanhamento pessoal introduzido pelo Utilizador; (iv) processar subscrições e pagamentos; (v) prestar apoio ao Utilizador; (vi) garantir a segurança e prevenir abusos; (vii) cumprir obrigações legais.

Os dados de saúde são tratados exclusivamente para prestar ao próprio Utilizador as funcionalidades de acompanhamento que este solicita, e nunca para publicidade ou perfilagem comercial.

5. Subcontratantes e partilha de dados

Para prestar o Serviço, recorremos a subcontratantes que tratam dados por nossa conta, ao abrigo de contratos de tratamento de dados: Supabase (alojamento e base de dados), Stripe (processamento de pagamentos), Telegram (funcionalidade de bot e notificações, quando ativada pelo Utilizador), fornecedor de inteligência artificial Moonshot / Kimi (funcionalidades de IA — quando o Utilizador as utiliza, o conteúdo necessário é enviado ao fornecedor para gerar as respostas) e Resend (envio de mensagens de correio eletrónico).

Relativamente às funcionalidades de inteligência artificial, alguns dados que o Utilizador submete (por exemplo, as perguntas ao PepBot ou as imagens de refeições) são enviados ao fornecedor de IA (Moonshot AI / Kimi) apenas para gerar a resposta solicitada. Procuramos minimizar os dados enviados ao estritamente necessário e esses dados não são utilizados para publicidade.

Alguns destes fornecedores podem tratar dados fora do Espaço Económico Europeu. Nesses casos de transferências internacionais, asseguramos a existência de salvaguardas adequadas, tais como cláusulas contratuais-tipo aprovadas pela Comissão Europeia ou decisões de adequação.

Não partilhamos os seus dados com outros terceiros, salvo quando exigido por lei, por ordem de autoridade competente, ou com o seu consentimento.

6. Não venda de dados

Não vendemos os seus dados pessoais. Nunca vendemos, alugamos nem partilhamos os seus dados de saúde para fins de publicidade, marketing de terceiros ou perfilagem comercial.

Os dados de saúde introduzidos pelo Utilizador são utilizados apenas para lhe prestar as funcionalidades que solicita.

7. Conservação e eliminação

Conservamos os dados pessoais apenas durante o tempo necessário para as finalidades para as quais foram recolhidos, incluindo enquanto a conta do Utilizador se mantiver ativa, e, após isso, durante os prazos exigidos por obrigações legais (por exemplo, fiscais e contabilísticas).

O Utilizador pode solicitar a eliminação da sua conta e dos respetivos dados. Após o encerramento da conta, os dados são eliminados ou anonimizados, salvo quando a sua conservação seja exigida por lei ou necessária para o exercício ou defesa de direitos.

8. Direitos do titular dos dados

Nos termos do RGPD, o Utilizador tem direito a: acesso aos seus dados; retificação de dados incorretos ou incompletos; apagamento (“direito a ser esquecido”); limitação do tratamento; portabilidade dos dados; oposição ao tratamento fundado em interesse legítimo; e retirada do consentimento a qualquer momento, sem afetar a licitude do tratamento anterior.

Em especial, o titular tem o direito ao apagamento dos seus dados (“direito a ser esquecido”), nos termos do [artigo 17.º do RGPD](https://eur-lex.europa.eu/eli/reg/2016/679/oj). O Utilizador pode apagar a conta e todos os dados a qualquer momento, diretamente nas definições da aplicação (Definições → Apagar conta), ou solicitando-o por correio eletrónico para rpad@rpad.pt. O apagamento é efetuado sem demora injustificada, salvo quando a conservação seja exigida por obrigações legais.

Para exercer estes direitos, contacte rpad@rpad.pt. Responderemos dentro dos prazos legais aplicáveis.

O Utilizador tem ainda o direito de apresentar reclamação à autoridade de controlo competente, em Portugal a CNPD — Comissão Nacional de Proteção de Dados (www.cnpd.pt), sem prejuízo de outras vias administrativas ou judiciais.

9. Segurança

Adotamos medidas técnicas e organizativas adequadas para proteger os dados pessoais, incluindo isolamento por utilizador através de Row Level Security (RLS), de modo a que cada Utilizador apenas aceda aos seus próprios dados, e encriptação em trânsito (HTTPS/TLS).

Apesar dos nossos esforços, nenhum sistema é completamente seguro; comprometemo-nos a tratar quaisquer incidentes de segurança de acordo com as obrigações legais aplicáveis, incluindo a notificação quando exigida.

10. Menores

A Plataforma não se destina a menores de 18 anos e não recolhemos intencionalmente dados de menores. Caso tenhamos conhecimento de que recolhemos dados de um menor sem base legal adequada, eliminaremos esses dados.

11. Alterações e contacto

Podemos atualizar esta Política de Privacidade a qualquer momento, publicando a versão revista na Plataforma com a respetiva data. Recomendamos a sua consulta periódica.

Para qualquer questão relativa a esta Política ou ao tratamento dos seus dados, contacte rpad@rpad.pt.