1. Responsável pelo tratamento
- Responsável
- menos uma é uma marca da Poesia Mineral – Unipessoal, Lda., NIPC 519539249
- Sede
- Avenida Atlântico, 16, 14.º Esq. 8, 1990-019 Lisboa
- Registo comercial
- Conservatória do Registo Comercial de Coimbra
- Contacto (privacidade e apoio)
- apoio@menos-uma.pt
Encarregado de Proteção de Dados (DPO). Não temos DPO nomeado. Para qualquer assunto de proteção de dados, contacta apoio@menos-uma.pt.
2. Âmbito
Aplica-se ao tratamento de dados pessoais de: (a) Utilizadores registados; (b) Membros do mesmo Agregado; e (c) terceiros cujos dados constem de documentos que carregas (ver secção 6).
3. Categorias de dados que tratamos
3.1. Conta / perfil: email, nome próprio, avatar (opcional), identificador do Agregado, papel e permissões.
3.2. Dados extraídos de faturas e contratos (que carregas): nome do titular, NIF, morada e código postal, IBAN, telefone, email, identificadores de ponto de entrega de energia/gás (CPE/CUI/CPD), dados de consumo (kWh, m³), tarifário, potência, valores, datas, fidelização e cláusulas contratuais. Uma fatura ou contrato pode conter, no seu texto, o número de Cartão de Cidadão; quando presente no documento, pode ser tratado de forma incidental. Não recolhemos a imagem do Cartão de Cidadão.
3.3. Assinatura da procuração: geramos e guardamos a procuração assinada (PDF). A assinatura é feita por código de confirmação enviado para o teu email — não há recolha de imagem de assinatura manuscrita nem de cópia de Cartão de Cidadão.
3.4. Comunicação e operação: histórico de conversas com o assistente de IA; o corpo das respostas dos fornecedores por email (que pode reproduzir dados do cliente — nome, NIF, IBAN, CPE, morada — e é guardado em registo de auditoria com acesso negado a clientes, acessível apenas à equipa via backend); registo de atividade do Agregado; tokens de notificação e preferências; pedidos de apoio e mensagens que nos envias; endereço IP e identificadores usados para segurança e para limitar abusos; códigos de entrada enviados por email.
3.5. Telemetria e erros: eventos de utilização e registos de erro, com dados pessoais apagados sempre que possível (ver secção 9).
4. Finalidades e fundamentos de licitude
| Finalidade | Fundamento (RGPD) |
|---|---|
| Criar e gerir a conta / prestar o Serviço | Execução do contrato — art. 6.º/1/b |
| Ler e analisar faturas/contratos; detetar poupança; recomendar | Execução do contrato — art. 6.º/1/b |
| Contactar fornecedores e executar mudanças em representação (incl. recolha/consulta de dados junto de fornecedores e operadores) | Execução do contrato — art. 6.º/1/b + mandato/Procuração |
| Processar pagamentos e subscrições | Execução do contrato — art. 6.º/1/b |
| Emitir faturas e cumprir deveres fiscais/contabilísticos | Obrigação legal — art. 6.º/1/c |
| Segurança, prevenção de fraude e melhoria do serviço; analítica de produto | Interesse legítimo — art. 6.º/1/f |
| Análise de utilização do site, sem cookies nem armazenamento no teu dispositivo (PostHog) | Interesse legítimo — art. 6.º/1/f (podes opor-te a qualquer momento; ver secção 10) |
| Comunicações comerciais (marketing) | Consentimento — art. 6.º/1/a (opcional, revogável, nunca pré-marcado) |
| Responder a pedidos de apoio, incluindo rascunhos de resposta feitos por IA e revistos pela equipa | Execução do contrato (art. 6.º/1/b) |
| Cobrar uma comissão já devida depois de apagares a conta | Interesse legítimo (art. 6.º/1/f) |
| Dados de terceiros no Agregado | Ver secção 6 |
Perfis. A partir de um histórico de faturas suficiente, analisamos padrões de consumo para recomendar. Ver a secção 12.
5. Subprocessadores e destinatários
Recorremos a subcontratantes e destinatários que tratam dados por nossa conta, ao abrigo de contratos de subcontratação (art. 28.º RGPD), entre os quais: Google (Firebase, Google Cloud, Vertex AI e Cloud Vision), Anthropic, Stripe, Postmark, Resend, Sentry, PostHog, Vercel, Upstash, Cloudflare, Apple (notificações da app) e serviços públicos de localização (GeoAPI.pt, OpenStreetMap e ANACOM). Os dados do Firebase residem em europe-west1 (Bélgica).
Inteligência artificial. Usamos modelos de IA para ler faturas e contratos, para o assistente de conversa e para ajudar a equipa a responder a pedidos de apoio. Os fornecedores destes modelos não usam os teus dados para treinar modelos.
Transferências internacionais. Onde o tratamento ocorra fora da União Europeia, é enquadrado por garantias adequadas nos termos do RGPD — por exemplo, Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia ou o EU-US Data Privacy Framework.
Não vendemos os teus dados. Não vendemos, alugamos nem partilhamos dados com fornecedores de energia/telecom para fins de marketing, nem com corretores de dados. A partilha com fornecedores ocorre apenas para executar a mudança que aprovaste ou que o modo automático fez por ti.
6. Dados de terceiros no Agregado (art. 14.º RGPD)
6.1. Podes gerir contas de outras pessoas do teu Agregado (por exemplo, cônjuge ou familiar idoso). Nesses casos, a menos uma pode tratar dados pessoais de pessoas que não são Utilizadores registados. Nesta fase, pedimos-te que carregues apenas documentos teus.
6.2. Quando geres a conta de outra pessoa, és responsável por a informar de que os seus dados são tratados pela menos uma para prestar o serviço que lhe geres. Essa pessoa pode exercer os seus direitos (acesso, retificação, apagamento, oposição) através de apoio@menos-uma.pt.
7. Os teus direitos
Tens direito de acesso, retificação, apagamento, limitação, oposição e portabilidade, e a retirar o consentimento (para marketing) a qualquer momento.
- Apagamento (art. 17.º): apagas a conta no produto; os dados do Agregado, os ficheiros e o registo de autenticação são apagados. Guardamos apenas o que a lei ou a prova nos obrigam: faturas emitidas, a procuração assinada e o registo de uma comissão ainda por pagar, pelos prazos da secção 8. Apagar a conta cancela o Mindful (Termos, cláusula 11). Se fores administrador de uma casa com outros membros, podes sair dela ou apagar a conta escolhendo quem fica como administrador. Cópias em backups são eliminadas no ciclo de rotação de backups.
- Portabilidade (art. 20.º): exportas os teus dados em JSON estruturado (exclui dados pessoais de outros Membros).
- Acesso, retificação, limitação, oposição: por apoio@menos-uma.pt (a edição de perfil/preferências existe no produto).
Prazo de resposta: 30 dias (de calendário), prorrogável nos termos do art. 12.º/3.
Reclamação à autoridade de controlo: tens o direito de reclamar junto da Comissão Nacional de Proteção de Dados (CNPD) — cnpd.pt.
8. Conservação (retenção)
| Categoria | Prazo |
|---|---|
| Conta e dados do Agregado | Até apagares a conta; cópias em backups eliminadas no ciclo de rotação de backups |
| Texto OCR bruto de faturas | Nunca é guardado |
| Eventos de idempotência de pagamento | 30 dias |
| Histórico de conversas com o assistente | Enquanto a conta estiver ativa |
| Registos de erro (Sentry) | Período limitado, com PII redigida |
| Análise de utilização do site (PostHog, sem cookies) | Eventos de utilização: até 1 ano |
| Faturação e obrigações fiscais | Prazo legal (em regra, 10 anos em Portugal) |
| Procuração assinada | Enquanto necessária como prova do mandato e pelo prazo legal aplicável |
| Texto da fatura com identificadores retirados | Enquanto a conta estiver ativa |
| Pedidos de apoio | Enquanto a conta estiver ativa |
| Códigos de entrada | Até serem usados ou expirarem |
| Registos de limites contra abuso | Período limitado |
| Registo de uma comissão devida depois de apagares a conta | Até ser paga ou até prescrever |
9. Segurança (art. 32.º)
- Residência de dados forçada em europe-west1 para todos os recursos Firebase.
- Encriptação em repouso (predefinição Google Cloud) e em trânsito (HTTPS).
- Controlo de acesso «negar por defeito»: acesso restrito a Membros do Agregado; os dados de alto risco (respostas de fornecedores, procuração) são inacessíveis a clientes — só o backend acede.
- Sessão por cookie HttpOnly, verificada no servidor; gate de verificação de email.
- Minimização de PII em registos: redação de chaves e padrões sensíveis (email, IBAN, CPE/CUI, NIF, telefone, tokens) antes de enviar para o Sentry.
Em caso de violação de dados pessoais, cumprimos os deveres de comunicação previstos no RGPD (artigos 33.º e 34.º).
11. Menores
O Serviço destina-se a adultos (≥ 18 anos); não é dirigido a menores e não recolhemos conscientemente dados de menores.
12. Decisões automatizadas e perfis
O motor de deteção de poupança produz recomendações automaticamente. Fora do modo automático, nenhuma mudança acontece sem a tua aprovação. Se ativares o modo automático, a menos uma decide e faz a mudança por ti, dentro dos limites que aceitaste. Ao ativá-lo, dás o teu consentimento explícito para isso (art. 22.º/2/c RGPD). Podes desligá-lo quando quiseres, pedir que uma pessoa da equipa reveja uma mudança, contestá-la e desistir dela sem custo em 14 dias. Há profiling de padrões de consumo, aqui divulgado (ver secção 4).
13. Alterações a esta Política
Podemos atualizar esta Política. As alterações materiais são comunicadas e, quando exigível, é pedida nova tomada de conhecimento. A data da última atualização consta no topo.
14. Contactos
- Privacidade / RGPD e apoio: apoio@menos-uma.pt
- menos uma é uma marca da Poesia Mineral – Unipessoal, Lda., NIPC 519539249 · Avenida Atlântico, 16, 14.º Esq. 8, 1990-019 Lisboa
- Autoridade de controlo: CNPD — cnpd.pt